Autor: StudentIn

Die neue Geoblocking Verordnung

Alles rund um die neue Geoblocking Verordnung: der Anwendungsbereich, Inhalt und die einhergehenden Sanktionen sowie Auswirkungen für die Anbieter.

Die neue Geoblocking Verordnung

Einführung

Die mit dem Internet und damit auch mit dem e-Commerce assoziierte Grenzenlosigkeit stellte sich in der vergangenen Zeit teilweise nicht als Realität, sondern mehr als Schein dar. Das sog. Geoblocking sorgte für unterschiedliche Angebote an Kunden aus verschiedenen europäischen Ländern und somit für Diskriminierungen und unterschiedliche Behandlungen. Dem will die Europäische Union ein Ende setzen und führte nun mit verbindlicher Wirkung zum 03. Dezember 2018 die Verordnung über Maßnahmen gegen ungerechtfertigtes Geoblocking und andere Formen der Diskriminierung aufgrund der Staatsangehörigkeit, des Wohnsitzes oder des Ortes der Niederlassung des Kunden (VO 2018/302) ein. Kurz wird die unmittelbar und europaweit geltende verbindliche Verordnung auch „Geoblocking-Verordnung“ genannt.

Sie legt Händlern diverse Pflichten zum Zweck der Gleichbehandlung von Kunden auf und soll im Ergebnis zu einer Antidiskriminierung führen. Die Verordnung hat zum Ziel, den Binnenmarkt zugunsten des Kunden zu stärken, indem sie Geoblocking und andere Formen der Diskriminierung aufgrund von Herkunft, Staatsangehörigkeit oder Aufenthaltsort verhindern soll.

Regelungsbereich der Verordnung

Geoblocking ist die unterschiedliche Behandlung von Kunden aufgrund der Herkunft, der Staatsangehörigkeit oder des Niederlassungsortes. Am häufigsten findet das Geoblocking im e-Commerce statt. Konkrete Ausprägung der Diskriminierung ist beispielweise eine automatische Weiterleitung des Kunden durch den Händler auf die Länderversion des Webshops, in dessen Staat sich der Kunde aufhält oder deren Staatsangehörigkeit der Kunde angehört, anstelle des Zugangs zu der Version der Webseite des EU-Staates, die der Kunde besuchen wollte. Anhand der IP-Adresse des Kunden kann das entsprechende Land vom Händler erkannt und der Kunde somit auf eine andere Version der Webseite weitergeleitet werden. Unter eine Diskriminierung mittels Geoblockings ist aber auch das Angebot der gleichen Ware in unterschiedlichen EU-Staaten zu unterschiedlich hohen Preisen zu verstehen. Dabei beschränkt sich das Geoblocking nicht nur auf den e-Commerce, sondern auch auf den „offline-Bereich“.

Diese Schranken des Binnenmarktes mit Grenzen der Warenverkehrsfreiheit durch eine uneinheitliche Behandlung der Kunden hieß die EU nicht gut und nahm sich mit der Geoblocking-VO den Kampf und die Untersagung dessen zum Anlass.

Anwendungsbereich der Verordnung

Die Geoblocking-VO regelt das Verhältnis zwischen Anbietern und Kunden, jedoch nur bei Grenzüberschreitungen innerhalb des europäischen Binnenmarktes, was sich aus einem Umkehrschluss aus Art. 1 Abs. 2 der Geoblocking-VO ergibt. „Anbieter“ im Sinne der VO ist nach Art. 2 Nr. 18 der Geoblocking-VO jede natürliche oder juristische Person, die für die Zwecke der gewerblichen, geschäftlichen, handwerklichen oder beruflichen Tätigkeit des Anbieters selbst oder durch eine andere im Namen oder im Auftrag des Anbieters handelnde Person tätig wird. Damit gilt die Verordnung nicht bei Abschluss eines Vertrages zwischen zwei Privatpersonen. „Kunde“ nach Art. 2 Nr. 13 der VO kann sowohl ein Verbraucher, sofern er die Staatsangehörigkeit eines Mitgliedstaates oder Wohnsitz in einem Mitgliedstaat hat, als auch ein Unternehmer, sofern er in einem Mitgliedstaat niedergelassen ist, sein, der ausschließlich zur Endnutzung Dienstleistungen in Anspruch nimmt oder Waren erwirbt oder dies anstrebt. Die Verordnung gilt sowohl im B2C- als auch im B2B-Verhältnis. Veräußert ein Unternehmenskunde die Ware jedoch beispielsweise weiter, vermietet sie, verarbeitet sie oder ist er aus einem anderen Grund nicht der Endnutzer der Ware, so ist er kein Kunde im Sinne der Geoblocking-VO. Ferner ist noch erwähnenswert, dass der Sitz des Unternehmens des Anbieters nicht zwangsläufig in der europäischen Union sein muss (vgl. Erwägungsgrund 17 der VO).

Die Geoblocking-VO findet jedoch keine Anwendung auf die in Art. 2 Abs. 2 der RL 2006/123/EG genannten Tätigkeiten wie beispielsweise Finanzdienstleistungen, Gesundheitsdienstleistungen, Telekommunikationsdienstleistungen, Verkehrsdienstleistungen und autovisuelle Dienste.

Inhalt der Verordnung

Die Verordnung bringt drei wesentliche Änderungen mit sich. Sie verbietet zum einen die Beschränkung des Zugangs zu einer Webseite, Plattform oder App, zum anderen die Diskriminierung durch allgemeine Geschäftsbedingungen beim Zugang zu Waren oder Dienstleistungen und auch die Diskriminierung bei Zahlungs- und Liefervorgängen.

Zugang zu Online-Benutzeroberflächen

Art. 3 Abs. 1 der Geoblocking-VO untersagt das Geoblocking, also die Sperrung oder Beschränkung des Zugangs von Kunden zu einer Online-Benutzeroberfläche des Anbieters aufgrund der Staatsangehörigkeit, des Wohnsitzes oder des Niederlassungsortes des Kunden.

Die Verordnung definiert eine „Online-Benutzeroberfläche“ als eine von einem Anbieter oder in dessen Namen betriebenen Software oder Anwendung zum Zwecke der Zugangsgewährung für Kunden zu Waren und Dienstleistungen des Anbieters, um darüber ein Geschäft zu tätigen. Nicht als Online-Benutzeroberfläche und damit nicht von dem Verbot erfasst sind rein informative oder redaktionelle Webseiten oder welche, die Verkaufsprodukte zwar präsentieren, jedoch keine Verkaufsmöglichkeit für den Kunden darstellen. Gemischt genutzte Webseiten oder Anwendungen wie Apps reichen nach der Definition nach Art. 2 Abs. 16 der Geoblocking-VO aus und fallen demnach nicht aus dem Anwendungsbereich.

Zudem untersagt die Verordnung das sog. „Autoforwarding“, also eine Weiterleitung des Kunden zu einer länderspezifischen Webseite, obwohl der Kunde eine andere Webseite besuchen wollte. Ein Beispiel dafür ist, dass ein sich in Deutschland aufhaltender Kunde auf die französische Version eines Onlineshops klickt, er jedoch automatisch auf die deutsche Webseite umgeleitet wird. Mittels der IP-Adresse des Kunden kann die Länderkennung ausfindig gemacht werden und der Kunde wird auf die Webseitenversion seines Landes weitergeleitet. Eine Weiterleitung darf nun aber nur aufgrund einer ausdrücklichen Einwilligung des Kunden erfolgen (sog. Opt-In), Art. 3 Abs. 2 a.E. der Geoblocking-VO, dennoch muss die ursprünglich besuchte Webseite für den Kunden leicht zugänglich bleiben, da der Kunde zum einen Recht auf freien Zugang zu den Webseiten hat, zum anderen ein Wahlrecht und sich somit aussuchen kann, wo er zu welchen Bedingungen einkauft.

Ist die Sperrung, Beschränkung oder Weiterleitung jedoch auf die Gewährleistung der Erfüllung rechtlicher Anforderungen des Anbieters zurückzuführen und dafür auch erforderlich, treffen diesen keine der beiden zuvor genannten Verbote, Art. 3 Abs. 3 der Geoblocking-VO. Solche rechtlichen Pflichten sind beispielsweise Bestimmungen des Jugendschutzrechts oder des Lebensmittelrechts. Dass die Weiterleitung, Sperrung oder Beschränkung aus diesem Grund erfolgt, hat der Anbieter dem Kunden in der Sprache der anfänglich besuchten Webseite anzugeben und zu begründen.

Verwendung von AGB bei Waren- und Dienstleistungsangeboten

Art. 4 Abs. 1 der Geoblocking-VO normiert, dass ein Anbieter für den Zugang zu Waren oder Dienstleistungen für seine Kunden keine unterschiedlichen allgemeinen Geschäftsbedingungen aufgrund der Staatsangehörigkeit, des Wohnsitzes oder des Niederlassungsortes des Kunden anwenden darf. Dieses Verbot betrifft ausschließlich die in der Norm aufgelisteten Fälle. Dazu gehört zum einen der Verkauf von materiellen Wirtschaftsgütern, so dass dem Kunden die gleichen AGB eingeräumt werden müssen, wie den Kunden in einem Mitgliedstaat, in den die Waren geliefert oder abgeholt werden können. Zum anderen erfasst die nächste Fallgruppe die Beziehung von elektronisch erbrachten Dienstleistungen, also bei denen eine materielle Lieferung nicht erforderlich ist. Nach Erwägungsgrund 24 der Verordnung fallen darunter Cloud-Dienste, Date-Warehousing, Webhosting die Bereitstellung von Firewalls und die Nutzung von Suchmaschinen und Internetverzeichnissen. Die letzte Fallgruppe stellen sonstige Dienstleistungen dar, die der Kunde an einem physischen Standort im Mitgliedstaat, in dem der Anbieter tätig ist, erhält, womit auch hier keine grenzüberschreitende Lieferung erfolgt.

Diese Regelung ist jedoch etwas missverständlich formuliert: man muss klarstellen, dass es dem Anbieter nicht verboten ist, verschiedene AGB für verschiedene Mitgliedstaaten zu verwenden, was sich aus Art. 4 Abs. 2 der Geoblocking-VO ergibt. Das Verbot erfasst lediglich eine diskriminierende Differenzierung aufgrund der Staatsangehörigkeit, des Wohnsitzes oder des Niederlassungsortes, wenn der Kunde genau bestimmte Angebote und AGB für sich nutzen möchte. Es darf dem Kunden aber nicht verwehrt bleiben, einen Vertrag mit dem Anbieter auf der Webseite eines anderen Landes zu schließen und sich auf die konkret verwendeten AGB in dem anderen Mitgliedstaat beziehen zu können. Damit kommt ein Vertrag zwischen den Beteiligten genau zu den Konditionen des Mitgliedstaats zustande. Dennoch hat der Kunde kein Recht auf Lieferung in seinen Heimatstaat. Er darf nicht schlechter, muss aber auch nicht besser gestellt werden als inländische Kunden. Bezieht sich beispielsweise ein Kunde aus Mitgliedstaat A auf die AGB in Mitgliedstaat B, in denen lediglich eine Lieferung in den Staat B vorgesehen ist, ist der Anbieter auch nur zu einer Lieferung in B verpflichtet. Zwar schließt er den Vertrag mit einem Kunden aus dem Mitgliedstaat A ab, und akzeptiert damit eine Rechnungsanschrift aus dem Staat A, dennoch muss der Kunde sich selbst um die Abholung der in den Staat B gelieferten Ware kümmern.

Durchführung des Zahlungsvorgangs in Bezug auf vom Anbieter angebotene Zahlungsmethoden

Damit der Handel auch in Bezug auf Zahlungsmethoden vereinheitlicht wird, untersagt Art. 5 der Geoblocking-VO verschiedene Konstellationen der Diskriminierung von Kunden in Bezug auf angebotene Zahlungsmittel. Konkret verbietet die Verordnung eine Differenzierung, die auf die Staatsangehörigkeit, den Wohnsitz, den Niederlassungsortes des Kunden, den Standort des Zahlungskontos, des Niederlassungsortes des Zahlungsdienstleisters oder des Ausstellungsortes des Zahlungsinstruments zurückzuführen ist. Wie auch bei Art. 4 der Geoblocking-VO meint der europäische Gesetzgeber damit kein Verbot des unterschiedlichen Angebots von Zahlungsmethoden an Kunden in unterschiedlichen Mitgliedstaaten, sondern lediglich ein Verbot der Verweigerung, wenn sich ein Kunde auf die Zahlungsmittel eines anderen Mitgliedstaates berufen möchte. Das bedeutet nicht, dass ein Anbieter auch alle Zahlungsmethoden anbieten muss. Bietet er jedoch mehrere Modalitäten an, so hat er sicherzustellen, dass alle Kunden die angebotenen Zahlungsmittel nutzen können.

Diese Regelung bezieht sich nach der abschließenden Aufzählung auf Zahlungsvorgänge durch Überweisung, Lastschrift oder Kartenzahlung oder wenn die Authentifizierungsanforderungen der PSD 2-Richtlinie erfüllt sind und ein vom Anbieter angebotener Zahlungsvorgang erfolgt.

Damit nicht ausschließlich der Kunde durch die Verordnung privilegiert wird, stellt Art. 5 Abs. 2 der Geoblocking-VO ein Zurückbehaltungsrecht des Anbieters klar, bis der Zahlungsvorgang durch den Kunden ordnungsgemäß eingeleitet worden ist.

Rechtliche Bedeutung für den Handel und die Wirtschaft

Die Bedeutung dieser Verordnung für die Praxis verdeutlichen bereits folgende Zahlen: 2017 tätigten rund 68 % der Internetnutzer in der EU Käufe über das Internet (Statistik des Statischen Amtes der Europäischen Union), allerdings konnten nur rund 37 % aller Webseiten in der EU die Käufe auch an Kunden aus dem EU-Ausland anbieten. Nach Ansicht der EU-Kommission hemmt Geoblocking die Verwirklichung des digitalen Binnenmarkts und verringert das Potential des grenzüberschreitenden Handels. Aus diesem Grund möchte die EU nun diesen Markt mit besonderem Hinblick auf eine kundenfreundliche Ausrichtung stärken und verbessern. Der Anwendungsbereich der Verordnung ist jedoch stark eingeschränkt, so dass das Regelwerk das Geoblocking nicht vollständig beseitigt. In der Begründung der Geoblocking-VO verdeutlicht der europäische Gesetzgeber ausdrücklich, dass die Verordnung keine Preisregulation darstellt. Es bleibt Anbietern weiterhin frei, einzelne Zielgruppen in den Fokus zu nehmen, solange die unterschiedliche Behandlung von Kunden sich nicht auf Gründe der Staatsangehörigkeit, des Wohnsitzes oder des Niederlassungsortes zurückführen lässt. Somit sind Sonderaktionen oder Rabatte in einzelnen Ländern zulässig, jedoch muss jeder europäische Kunde dieses Angebot auch annehmen können.

Sanktionen

Nach Art. 7 Abs. 1 der Geoblocking-VO bleibt die Durchsetzung der Verordnung den Mitgliedstaaten überlassen. In Deutschland soll die Bundesnetzagentur die dafür zuständige Kontrollbehörde sein. Zwar gilt die Geoblocking-VO als Rechtsverordnung unmittelbar in allen Mitgliedsstaaten der europäischen Union, dennoch soll nach aktuellen Erkenntnissen das Telekommunikationsgesetz an die Geoblocking-VO angepasst und um die bei Verstößen gegen die Geoblocking-VO geltenden Sanktionen ergänzt werden. Diese Regelungen sollen wirksam, verhältnismäßig und abschreckend sein, um die Umsetzung der Verordnung zu gewährleisten. Derzeit plant man mit Bußgeldern von bis zu 300.000 Euro. Darüber hinaus können weitere Sanktionen durch die Bundesnetzagentur wie beispielsweise eine Anordnungsbefugnis zur Sicherstellung eines ortsdatenunabhängigen Zugangs zu den angebotenen Waren und Dienstleistungen bislang nicht ausgeschlossen werden.

Nach Art. 10 Abs. 3 der Geoblocking-VO wird die Verordnung in den Anhang der Richtlinie 2009/22/EG, der Unterlassungsklagerichtlinie, eingefügt. Daraus ergibt sich, dass qualifizierte Einrichtungen gegen herkunftsbezogen diskriminierende Anbieter mittels Unterlassungsklagen vorgehen können.

Praktische Auswirkungen für den Anbieter

Die Geoblocking-VO verbietet Anbietern in erster Linie eine Menge. Die Verbote haben jedoch auch zur Konsequenz, dass der Anbieter tatsächlich tätig werden muss. Hinsichtlich des nun verbindlichen Verbotes der Weiterleitung, Sperrung und Beschränkung, hat der Anbieter sicherzustellen, dass er gegen die Regelungen aus der Geoblocking-VO nicht verstößt. Aus diesem Grund sollten Anbieter nun ihre Webshops nach möglichen Verstößen durchsuchen im Hinblick auf bestehende Zahlungsmodalitäten, Verkaufsbedingungen und Zugangsbeschränkungen. Sollte ein Verstoß festgestellt werden, so liegt es im Interesse des Anbieters, diesen schnellstens zu beseitigen, sodass alle europäischen Kunden die Webseiten aufrufen und nutzen können. Dazu gehören im Einzelnen:

1. Es darf keine automatische Weiterleitung des Kunden auf die nationale Länderseite geben. Eine Umleitung ist nur rechtmäßig, wenn der Kunde ausdrücklich darin eingewilligt hat. Dies kann beispielsweise mithilfe der Opt-In-Lösung erfolgen, indem der Kunde vor einer Weiterleitung dieser in einem Dialogfeld zustimmen kann. Liegt eine solche Einwilligung vor und ist die Weiterleitung damit rechtmäßig, so muss die ursprünglich aufgerufene Webseite dennoch für den Kunden leicht zugänglich bleiben.

2. Eine Beschränkung oder Sperrung des Zugangs auf eine Online-Benutzeroberfläche für Kunden aus dem EU-Ausland aufgrund der Staatsangehörigkeit, des Wohnsitzes oder Niederlassungsortes ist verboten und darf damit nicht stattfinden. Also müssen Webseiten für europäische Kunden erreichbar sein, so dass es Kunden möglich ist, auf jeder Webseite zu den dort geltenden Bedingungen einzukaufen.

3. Anbieter sollten ihre Zahlungsmethoden im Hinblick auf die verbotene herkunftsbezogene Diskriminierung untersuchen. Unterschiedlichkeiten, die auf der Staatsangehörigkeit, des Wohnsitzes oder des Niederlassungsortes basieren, sind verboten. Dabei bleibt die Wahl der zur Verfügung gestellten Zahlungsmodalitäten jedoch den Anbietern überlassen. Jeder Kunde muss sich auf ein angebotenes Zahlungsmittel in einem EU-Mitgliedstaat berufen können.

4. Zudem darf ein Anbieter allen Kunden nicht unterschiedliche Lieferbedingungen aufgrund der Staatsangehörigkeit, des Wohnsitzes oder des Niederlassungsortes anbieten.

Jedoch ist festzuhalten, dass die Geoblocking-VO einen Anbieter nicht dazu verpflichtet, seine Waren oder Dienstleistungen europaweit zu verkaufen und auch nicht europaweit zu liefern. Der Anbieter darf selber über die von ihm belieferten Gebiete bestimmen, bietet er jedoch die Lieferung in den Mitgliedstaat A an, so muss jeder Kunde aus der EU die Möglichkeit haben, zu diesen Konditionen einzukaufen und damit die Lieferung in den Staat A verlangen dürfen.

Eine Herausforderung ergibt sich aber aus der Bezahlung der bestellten Waren. Die kundenfreundlichste Zahlungsmethode des Kaufes auf Rechnung wird in der Praxis jedoch schwer umzusetzen sein: zahlt ein Kunde trotz Mahnungen nicht, muss das Geld in einem Mahnverfahren eingetrieben werden, was sich in praktischer Hinsicht durch die Grenzüberschreitung als nicht unkompliziert darstellt.

Fazit

Insgesamt stellt die Geoblocking-VO keine grundlegende Änderung des Online-Handels dar. Durch die Verbote der Diskriminierung von Kunden aus Gründen der Staatsangehörigkeit, des Wohnsitzes und des Niederlassungsortes möchte der europäische Gesetzgeber den Binnenmarkt vereinheitlichen und die Gleichberechtigung von Kunden fördern. Die Kernaussagen der Verordnung liegen in zusammenfassend darin, dass jeder Kunde aus der europäischen Union zu den gleichen Bedingungen einkaufen können soll, indem er den Vertrag mit dem Anbieter auch zu den Konditionen eines anderen Mitgliedstaates abschließen können soll. Im Kern dürfen EU-Bürger also nicht schlechter gestellt sein als Einheimische eines Mitgliedstaates, was aber für Anbieter keinesfalls eine Pflicht zur europaweiten Lieferung bedeutet. Anbieter sollten nun ihre Webseiten und anderen Online-Benutzeroberflächen auf mögliche Verstöße untersuchen und diese schnellstens beseitigen, um keine Bußgelder befürchten zu müssen.

NOCH FRAGEN?

Wir freuen uns auf Ihre Anfrage zu diesem und weiteren Themen!

KONTAKT AUFNEHMEN

KG Berlin zur Influencer Werbung

Wir beleuchten das Urteil des Berliner Kammergerichts zur Kennzeichnungspflicht von Werbung in sozialen Netzwerken.

KG Berlin zur Influencer Werbung

Einführung

Im Zeitalter der sozialen Netzwerke werden die durch Influencer auf Plattformen wie Instagram veröffentlichten Posts auch zu einem großen Teil für die Präsentation von Produkten genutzt. Im Fokus steht hierbei die Frage, inwieweit eine Kennzeichnung entsprechender Posts als Werbung durch die Blogger zwingend vorgenommen werden muss, um der Gefahr des Erhalts einer Abmahnung aufgrund des Vorwurfs vermeintlicher Schleichwerbung vorzubeugen.

Am 8. Januar 2019 hat das Berliner Kammergericht über die Kennzeichnungspflicht in den sozialen Netzwerken entschieden (Az. 5 U 83/18). Mit vorangehender einstweiliger Verfügung wurde der Influencerin die Pflicht auferlegt, Instagram-Posts als Werbung zu kennzeichnen, wenn sie darin Marken taggt. Hiergegen brachte sie vor, dass sie keinerlei Gegenleistung, weder in finanzieller, noch in anderer Hinsicht erhalten habe. Die Vorlage von Quittungen fungierte als maßgebliches Beweismittel. Im Rahmen der außergerichtlichen Auseinandersetzung war sie nicht bereit, eine Unterlassungserklärung zu unterzeichnen.

Das LG Berlin beschäftigte sich mit drei Posts von der betroffenen Influencerin und hob in einem Fall die einstweilige Verfügung auf.

Unterschiedliche Behandlung von Medien und Bloggern

Zur richtigen Einordnung des vorliegenden Rechtsstreits ist eine Beleuchtung des Begriffs der Werbung essentiell. Bisher herrschte die Meinung vor, wonach Werbung (§ 2 Abs. 2 Nr. 7 RStV) immer dann vorliege, wenn damit entweder ein geldwerter Vorteil für den Werbenden verbunden war oder alternativ ein Produkt kostenlos zur Verfügung gestellt werde und als Gegenleistung beispielsweise ein Post durch das betreffende Unternehmen erwartet wird.

Die Kategorie der unentgeltlich redaktionellen Beiträge mit Werbecharakter stellt den vorliegend zwingend in den Blick zu nehmenden Bereich dar. Ausgangspunkt der Überlegung ist, dass mit der Nennung einzelner Produkte verbundener, sachlicher Journalismus unumgänglich eine Werbewirkungen verbunden ist. So dürfte unter dem Deckmantel der Pressefreiheit die Markenverlinkungen durch Redaktionen regelmäßig als bloße Meinungsäußerung und gerade nicht als Werbung einzustufen sein. Die Arbeit von Journalisten unterfällt also dem Bereich der zulässigen Meinungsäußerung.

Die betroffene Influencerin rügte in diesem Zusammenhang die Ungleichbehandlung von Bloggern und Journalisten. Wenn das Zeit Magazin ein Rezensionsexemplar von einem Bildband geschickt bekomme und darüber schreibt, sei dies eine redaktionelle Leistung. Wenn der gleichen Bildband einer Bloggerin zugeschickt werde und von dieser rezensiert werde, müsse dies als Werbung gekennzeichnet werden.

Anknüpfungspunkt für den Versuch einer Erklärung dieser unterschiedlichen Behandlung ist die Berufsbezeichnung des Journalisten. Als Journalist darf sich jeder bezeichnen, dessen Handeln sich an journalistischen Prinzipien orientiert. Demnach könnten Influencer zunächst in die Kategorie der Journalisten fallen. Bei Bloggern ist allerdings zu beachten, dass die Anzeigenabteilung gerade nicht von der Redaktion getrennt ist wie bei den Printmedien. Bei einer Zeitschrift kann es zum Teil vorkommen, dass im redaktionellen Teil Werbeelemente vorhanden sind, die aber nicht als „Anzeige“ gekennzeichnet werden. Die Grenze zwischen und Werbung und Redaktion können folglich fließend verlaufen.

Grund für Einstufung als Meinungsäußerung bei Journalisten

Für die Beantwortung der zuvor aufgeworfenen Frage, warum Markenverlinkungen durch Redaktionen lediglich als bloße Meinungsäußerung eingestuft werden, ist auf die primäre Aufgabe des Journalismus als eine auf die Sicherstellung sachlicher Information angelegte Berichterstattung für die Gesellschaft explizit hinzuweisen. Diese Art der Information kann unvermeidbar Elemente von

Werbung, sog. Werbewirkungen, enthalten. Im Rahmen der Frage, ob eine Werbungskennzeichnung vorgenommen werden muss, ist auf den Schwerpunkt des publizistischen Anlasses abzustellen. Die Vornahme einer Einzelfallprüfung ist unabdingbar. Zu prüfen ist beispielsweise u.a., ob eine völlig unbegründete Nennung eines Produkts und Unternehmers vorliegt.

Der Grund für die Einstufung von Markenverlinkungen durch Redaktionen als bloße Meinungsäußerung ist die Tatsache, dass die Berichterstattung der Journalisten bewusst auf die Gesellschaft gerichtet ist. Eine neutrale und möglichst breit gefächerte informative Darstellung der einzelnen Themen ist der Anspruch, dem jeder Journalist im Rahmen der Verfassung seiner redaktionellen Beiträge gerecht werden will und muss.

Hiervon kann sich die Arbeit der Blogger grundlegend unterscheiden. Deren Arbeit ist zwar auch auf die Information ihrer Follower und eine damit einhergehende Anpreisung und Empfehlung der Produkte gerichtet, jedoch liegt deren Arbeit gerade nicht die neutrale Information der Gesellschaft und auf Sachlichkeit gegründete Darstellung zugrunde. Die präzise Information sowie eine möglichst neutrale Abbildung der Realität, die an geeigneten Stellen die notwendige Kritik enthält, charakterisiert die Art von Journalismus, die die demokratische Gesellschaft benötigt. An diesem Leitbild orientiert sich der deutsche Journalismus. Dies ist der Grund dafür, dass ein Vertrauen in professionelle Medien in Deutschland vorherrscht.

Abschließend ist festzuhalten, dass den Journalisten eine große Verantwortung als Informationsmedium obliegt. Deren Arbeit erfolgt insbesondere vor dem Hintergrund der in der Verfassung verankerten Meinungs- und Pressefreiheit, aber auch der Landespresse- und Landesmediengesetze und der Rundfunkstaatsverträge. Die Tätigkeit der Blogger bei der Erstellung der einzelnen Posts orientiert sich nicht primär hieran.

Der bei den Journalisten redaktioneller Beiträge verfolgte und zuvor dargestellte publizistische Anlass ist bei den Bloggern gerade nicht gegeben.

Kernaussage des Urteils

Das in Rede stehende Urteil soll an erster Stelle Rechtssicherheit und Transparenz schaffen für alle Influencer und die auf ihre Beiträge aufmerksam werdende Community. Es soll aufzeigen wo die Grenze zur Schleichwerbung verläuft. Darüber hinaus soll dieses Urteil eine Vergleichbarkeit der werberechtlichen Anforderungen an alle Mediengattungen gewährleisten. Es gilt, den teils fließenden Übergang von redaktioneller Freiheit zur Schleichwerbung zu untersuchen und den jeweiligen Post entsprechend einzuordnen.

Das vom LG Berlin im Juni 2018 ergangene Urteil zeigt in der Rückschau, dass die hierdurch angeordnete Pflicht für Blogger zur ausnahmslosen Kennzeichnung als Werbung bei Nennung einer Marke, ungeachtet eines bestehenden kommerziellen Zwecks, wenig bis gar nicht praktikabel ist in der Praxis.

Das Kammergericht Berlin hat in seiner Entscheidung vom 8. Januar 2019 auf die große Bedeutung einer Prüfung im Einzelfall bei Fällen wie dem vorliegenden ausdrücklich hingewiesen.

Das Kammergericht Berlin lehnte ausdrücklich die vom LG Berlin geforderte pauschale Kennzeichnungspflicht bei jedem Link ab. Zum Teil können Posts der redaktionellen Freiheit unterliegen. Die Richter stellten darauf ab, ob ein redaktioneller Kontext zu der jeweiligen Markenverlinkung vorliegt.

Die von dem Gericht angeordnete Vorgehensweise wird auch von den Landesmedienanstalten befürwortet. Im November 2018 wurden mit Blick auf den Umgang mit Werbung entsprechende Leitlinien veröffentlicht. Der Leitfaden legt den Fokus auf die Kennzeichnung von Werbung und die in diesem Bereich anzulegenden Maßstäbe.

Er umfasst alle in eine entsprechende Abwägung einzubeziehenden Faktoren wie beispielsweise die Meinungsfreiheit, als auch die Glaubwürdigkeit und die Authentizität der Anbieter. Das

Telemediengesetz und der Rundfunkstaatsvertrag sind in dem Zusammenhang die einschlägigen gesetzlichen Vorschriften.

Nach dem UWG ist nicht die Gegenleistung entscheidend, sondern die Förderung des Absatzes des eigenen oder eines fremden Unternehmens.

Fazit

Das Urteil des Kammergerichts Berlin ist mit Spannung erwartet worden und leistet nun den entscheidenden Beitrag zur Schaffung eines klaren und verbindlichen Rechtsrahmens in dem doch spezifischen aber hochaktuellen Bereich der Kennzeichnungspflicht in sozialen Netzwerken.

Die Gründe für den nachweisbaren großen Erfolg des Influencer-Werbemodells sind evident. Die Präsentation eines Produkts durch eine bekannte Person verleiht der Darstellung einen hohen Grad an Authentizität verbunden mit großer Glaubwürdigkeit, was im Ergebnis zur Schaffung eines für die Kaufentscheidung wichtigen und notwendigen Vertrauensverhältnisses beim Kunden führt. Die herbeigeführte Identifikation des jeweiligen Followers mit den Influencern ist dabei ausschlaggebend. Diese Form des zielgruppenspezifischen Marketings verzeichnet großen Erfolg. In Anbetracht dessen fürchten „herkömmliche Werbeunternehmen“ zu Recht einen Abbau des Kundeninteresses an ihrer Werbeform und einen Zuwachs an der Mitverfolgung von Blogger-Profilen und der darauf zu findenden Produktwerbung.

Damit hier im Endeffekt Chancengleichheit bestehen bleibt und Produktwerbung durch alle vorhandenen Medien nachweislich ist, ist das Urteil des Kammergerichts Berlin absolut zu begrüßen und als wichtiger und zentraler Beitrag einzuordnen.

Für alle im Bereich des Influencer-Marketings Tätigen ist abschließend darauf hinzuweisen, dass bei einem durch den Influencer selbst erworbenen Produkt eine werberechtliche Kennzeichnungspflicht nicht besteht, wenn der einzelne Post kein offenkundiger Ausdruck der Werbeabsicht ist.

NOCH FRAGEN?

Wir freuen uns auf Ihre Anfrage zu diesem und weiteren Themen!

KONTAKT AUFNEHMEN

Facebooks Custom Lookalike Audiences und Datenschutz

Aktuell und heiß diskutiert: die Custom Lookalike Audiences. Hier erfahren Sie, was Lookalike Audiences sind, wie diese funktionieren und wie sie datenschutzrechtlich einzuordnen sind.

Facebooks Custom Lookalike Audiences und Datenschutz

Einführung: Custom Lookalike Audiences

Zur Steigerung der sogenannten persönlichen Reichweite gibt es das Instrument der Lookalike Audiences. Lookalike Audiences sind Zwillingszielgruppen und dienen der Neukundengewinnung. Ausgehend von der bestehenden Source Audience, also der Custom Audience aus Pixel-Daten oder Fans der Unternehmens-Fanpage, kann man nun eine neue Audience erstellen, die der Source Audience in demografischen Daten und Interessen ähnelt. Personen, mit denen noch keine geschäftliche Kontakte bestanden, die jedoch ein ähnliches Interessenprofil wie Bestandskunden haben, sollen daher durch Anzeigen als potentielle Kunden gewonnen werden.

Diese Zielgruppenfunktion ist aber nicht nur auf Facebook begrenzt, sondern kann vielmehr auch auf anderen Social Media-Kanälen wie beispielsweise Instagram angewandt werden. Wichtig ist, dass nur dann eine Lookalike Audience erstellt werden kann, wenn man „Inhaber“ der Ausgangsquelle, der sogenannten Source Audience, ist.

Unabhängig von der konkreten Zielsetzung können Lookalike Audiences vielfach eingesetzt werden, wie beispielsweise um mehr Käufe, Downloads oder Traffic zu generieren. Dabei steht dem Ersteller der Lookalike Audiences ein großer Spielraum zu. Nach Angabe der Source Audience bestimmt der Ersteller den Ort, auf den abgezielt werden soll, und danach die Größe seiner Zielgruppe. Jedoch wird die Ähnlichkeit der Profile proportional zu einer ansteigenden Größe der Reichweite geringer.

Viele Werber greifen auf dieses Instrument zum Marketing zurück, um Werbekosten durch Steuerverluste zu senken, indem gezielt Personen mit einem vermuteten Interesse an der Werbung beworben werden.

Facebook Custom Audience über die Kundenliste

Die am häufigsten verwendete Methode der Facebook Lookalike Audiences funktioniert über die Kundenliste. Der Werbende verwendet eine Liste mit Kundendaten wie der E-Mail-Adresse als Grundlage der Lookalike Audience. Dafür lädt er diese bei Facebook hoch, indem die Daten der Kunden im Browser durch das Verfahren „Secure Hash Algorithm 256“ gehasht und anschließend verschlüsselt an Facebook übermittelt werden. Dort kommt es zu einem Abgleich der Hashwerte durch Facebook mit vorhandenen Nutzerdaten. Zusätzlich erlangt Facebook Kenntnis von der Nutzung der sozialen Medien einzelner Betroffener. Nun werden die Übereinstimmungen zu einer Custom Audience zusammengefasst und für den Werbenden gespeichert.

Facebook Custom Audience Pixel-Verfahren

Neben der Möglichkeit der Erstellung einer Lookalike Audience mittels Kundenliste steht Werbenden noch die Alternative des Pixel-Verfahrens zur Verfügung. Bei diesem Verfahren ist die Webseite der Ausgangspunkt. Der Seitenbetreiber verwendet einen unsichtbaren Pixel, indem er ihn als Code auf die Webseite einbindet. Dieser Pixel erkennt Wiederkehrer und erstellt von ihnen ein pseudonymes Nutzungsprofil, wodurch Facebook die Besucher der Webseite erkennt und ihnen künftig Werbeanzeigen des Webseiten-Inhabers anzeigt.

Datenschutzrechtliche Einordnung

Bei der rechtlichen Einordnung der Custom Lookalike Audiences ist eine differenzierte Ansicht nach den verschiedenen Verfahren vorzunehmen.

Das Pixel-Verfahren

Das Pixel-Verfahren ist aus datenschutzrechtlicher Hinsicht im Ergebnis nicht als rechtswidrig einzuordnen. Im Datenschutzrecht gilt allgemein das Prinzip des Verbots mit Erlaubnisvorbehalt: danach ist eine Datenverarbeitung grundsätzlich immer rechtswidrig, es sei denn die Verarbeitung geschieht im Rahmen einer rechtlichen Erlaubnis. Bislang wurde vertreten, dass es unter die Erlaubnisnorm § 15 Abs. 3 Telemediengesetz (TMG) fällt. § 15 Abs. 3 TMG erlaubt Dienstanbietern die Erstellung pseudonymer Nutzungsprofile für Zwecke der Werbung, Marktforschung oder bedarfsgerechten Gestaltung von Telemedien. Allerdings hat der Betroffene ein Widerspruchsrecht in Bezug auf die Nutzung seiner Daten, über das er informiert werden muss. Dafür ist eine Opt-Out-Lösung im Rahmen der Datenschutzerklärung heranzuziehen, um dem Betroffenen einen Widerspruch zu ermöglichen.

Folgende Inhalte muss der Hinweis über die Custom Audiences enthalten:

Zweck der Datenverarbeitung
Art der betroffenen personenbezogenen Daten
Rechtsgrundlage der Datenverarbeitung (Art. 6 Abs. 1 lit. f) DS-GVO)
Benennung des berechtigten Interesses
Einsatz eines Tracking-Verfahrens
Möglichkeit eines Opt-Out-Verfahrens

Jedoch liegt folgende Problematik vor: Ursprünglich wollte der europäische Gesetzgeber neben der DS-GVO am 25. Mai 2018 auch die ePrivacy-VO einführen. Dadurch bezweckte er ein einfacheres Zusammenspiel der aktualisierten europäischen Regelungen im Rahmen des Datenschutzrechts und der elektronischen Kommunikation. Allerdings blieb die ePrivacy-VO im Gesetzgebungsstadium aufgrund politischer Differenzen stecken.

Die ePrivacy-VO wird die ePrivacy-Richtlinie ablösen, welche wiederrum durch die nationalen Gesetze Telemediengesetz und Telekommunikationsgesetz umgesetzt werden. Die ePrivacy-VO entfaltet unmittelbare Wirkung, jedoch herrscht bislang noch ein Schwebezustand. Unternehmen stehen vor der Frage, ob neben der DS-GVO auch das TMG zu beachten ist. Nur dann kann § 15 Abs. 3 TMG eine Erlaubnisnorm für das Pixelverfahren darstellen.

Exkurs: Anwendbarkeit des Telemediengesetzes

Hinsichtlich des Telemediengesetzes kann festgestellt werden, dass der Gesetzgeber keine Änderungen am TMG vorgenommen hat, womit das Gesetz in erste Linie in Kraft bleibt.

Das Beratungsorgan der Datenschutzaufsichtsbehörden in Deutschland, die Datenschutzkonferenz (DSK), hat nun zu dieser Problematik Stellung genommen:

Die DS-GVO genießt Anwendungsvorrang. Die datenschutzrechtlichen Regelungen aus dem TMG könnten aufgrund von Kollisionsvorschriften, Umsetzungsauftrags oder einer Öffnungsklausel aus der DS-GVO vorrangig anwendbar sein. Art. 95 DS-GVO ist eine Kollisionsregel der DS-GVO zur ePrivacy-VO, womit die Grundsätze der ePrivacy-Richtlinie weiterhin gelten können. Diese Kollisionsregel findet nach Auffassung der DSK aber nicht auf den 4. Abschnitt des TMG Anwendung. Grund dafür ist, dass der 4. Abschnitt Umsetzungsregelungen der inzwischen aufgehobenen Datenschutzrichtlinie enthält und damit bereits durch den Anwendungsbereich der DS-GVO reformiert wurde. In der Konsequenz können die §§ 12, 13 und 15 TMG nicht mehr angewandt werden. §§ 12 ff. TMG regeln die Beurteilung der Rechtmäßigkeit der Reichweitenmessung und des Einsatzes von Tracking-Mechanismen. Diese Lücke wird nicht durch entsprechende Anwendung der ePrivacy-Richtlinie geschlossen, ferner greift nur die DS-GVO. Mithin ist taugliche Rechtsgrundlage für eine Datenverarbeitung somit Art. 6 Abs. 1 DS-GVO. Auch gelten die Grundsätze für die Datenverarbeitung nach Art. 5 DS-GVO verbindlich.

Tracking-Mechanismen dienten der Untersuchung von Nutzern im Internet oder der Erstellung von Nutzerprofilen, darunter fiele auch der Einsatz von Cookies. Würden Tracking-Mechanismen eingesetzt, bedürfe es nach neuster Ansicht der DSK aufgrund der unmittelbaren Geltung der DS-GVO auf Verarbeitungen der elektronischen Kommunikation einer DS-GVO-konformen Einwilligung des Betroffenen. Nach Art. 7 DS-GVO müsse der Betroffene die Einwilligung abgeben, bevor es zur Datenverarbeitung komme und zu diesem Zweck umfassend informiert werde.

Danach sollte die Verarbeitung derzeit nicht mehr auf § 15 Abs. 3 TMG gestützt werden.

Kritik an dieser Auffassung

Allerdings ist der gezogene Schluss der DSK nicht unproblematisch. Die bloße Anwendbarkeit der DS-GVO bedeutet nicht zwingend, dass eine Datenverarbeitung nur auf eine rechtskonforme Einwilligung nach Art. 7 DS-GVO gestützt werden kann. Vielmehr könnte eine Datenverarbeitung von einem anderen Rechtfertigungsgrund wie Art. 6 Abs. 1 lit. f) DS-GVO getragen werden. Danach ist eine Datenverarbeitung zur Wahrung von berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt. Maßgeblich ist also, ob der Einsatz von Cookies und anderen Tracking-Mechanismen von einem berechtigten Interesse gerechtfertigt werden kann. Der Begriff des berechtigten Interesses wird weit gefasst, so dass Direktwerbung und Marktforschung darunter fallen. Jedoch ist bislang unklar, ob für die Wahrung dieser Interessen auch die Verwendung von Werbe-Tools erforderlich ist oder nicht vielmehr ein milderes Mittel gleich geeignet ist. Diesbezüglich ist die Rechtslage noch unsicher. Nach Auffassung der DSK überwiegen bei einer Abwägung der Interessen beider Parteien stets die Betroffeneninteressen, sodass Art. 6 Abs. 1 lit. f) DS-GVO effektiv gesehen nicht eingreift und somit keine Rechtsfertigungsnorm darstellt.

Für die rechtssichere Verwendung der Nutzerdaten für das Pixel-Verfahren bedürfte es entsprechend einer informierten Einwilligung. Diese müsste idealerweise bereits bei Erheben des Datums eingeholt werden.

Das Listen-Verfahren

Bei den Custom Lookalike Audiences mittels Listen-Verfahrens hingegen sieht es etwas anders aus: eine Erlaubnisnorm greift hier nicht ein, sodass der Webseitenbetreiber auf eine rechtskonforme Einwilligung zur Datenverarbeitung angewiesen ist. Anderenfalls ist die Datenverarbeitung nicht gerechtfertigt. Widerruft der Betroffene also seine Einwilligung, so entfällt damit die Rechtsgrundlage, die Datenverarbeitung darf nicht weiter vorgenommen werden, der Nutzer ist von der Kundenliste zu streichen und Facebook über den Widerruf zu informieren.

Auch im Übrigen stellen sich in Bezug auf das Listen-Verfahren mehrere Fragen. Die bayerische Datenschutzbehörde ist der Auffassung, dass das verwendete SHA-265-Verfahren, mittels dem personenbezogene Daten gehasht und verschlüsselt an Facebook gesendet werden, kein geeignetes Anonymisierungsverfahren darstellt. Ein Anonymisierungsverfahren macht datenschutzrechtlich gesehen nur dann Sinn, wenn durch das Verfahren ausgeschlossen werden kann, dass die einzelnen Daten einer natürlichen Person zugeordnet werden können. Bei dem SHA-265-Verfahren kann dies aber nicht gewährleistet werden, da weiterhin trotz Hashing ein Rückschluss auf einen konkreten Nutzer von Facebook möglich ist. Facebook benutzt hinsichtlich der Verschlüsselung der E-Mail-Adressen von Facebook-Nutzern und denen der Custom Audience das gleiche Verfahren, so dass durch einen Vergleich der Hashwerte festgestellt werden kann, welcher Facebook-Nutzer auch Kunde in der Custom Audience ist. Diese Feststellung des Personenbezugs stellt also gerade keine Anonymisierung dar. Auch befürchtet die Datenschutzbehörde eine mögliche Zurückrechnung des Klartexts mittels der Brute-Force-Methode, wodurch die personenbezogenen Daten für Facebook letztendlich nicht verschlüsselt sind. Dass damit kein ausreichender Datenschutz gewahrt wird, ist offensichtlich.

Und was nun?

Festzuhalten bleibt, dass die Custom Lookalike Audiences datenschutzrechtlich nicht unproblematisch sind. Während die DSK kürzlich noch der Auffassung war, es bedürfe in Bezug auf das Pixel-Verfahren keiner Einwilligung als Rechtfertigungsgrund, so änderte sie ihre Meinung mit Veröffentlichungen wie „EuGH bestätigt gemeinsame Verantwortung von Facebook und Fanpage-Betreiber“ und „Zur Anwendbarkeit des TMG für nicht-öffentliche Stellen ab dem 25. Mai 2018“ und sieht nun sowohl in Bezug auf das Listen-Verfahren, als auch auf das Pixel-Verfahren das Erfordernis einer DS-GVO-konformen Einwilligung.

Zwar strahlt die Auffassung der DSK keine rechtliche Bindungswirkung aus, allerdings ist sie auch nicht zu unterschätzen. Die Gerichte orientieren sich an den Einschätzungen der Aufsichtsbehörden und weichen nicht wesentlich von ihnen ab.

Bei der Nutzung von Custom Audiences sollte der Betroffene über deren Einsatz jedenfalls in der Datenschutzerklärung informiert werden. Während bei der Verwendung des Listen-Verfahrens eine Einwilligung des Betroffenen vorliegen muss, liegt in Bezug auf das Pixel-Verfahren bislang noch kein Erfordernis vor.

Das EuGH-Fanpage-Urteil

Nicht nur die Facebook Custom Lookalike Audiences sind aus der Perspektive des Datenschutzrechts höchst interessant, sondern auch das Urteil des EuGH in Bezug auf eine Fanpage auf Facebook sorgte für Aufmerksamkeit. Hintergrund des Rechtsstreits ist, dass weder der Betreiber einer Fanpage über Facebook noch Facebook Ireland Ltd selber den Nutzer der Fanpage über die von Facebook vorgenommenen Datenverarbeitungen in Form des Setzen von Cookies und der damit verbundenen Datenerhebung informiert haben. Der EuGH entscheid nun im Rahmen eines Vorabentscheidungsersuchens, dass der Betreiber der Fanpage neben Facebook mitverantwortlich für die Datenverarbeitung ist.

Eine gemeinsame Verantwortlichkeit von Dienstanbietern für Verarbeitungen personenbezogener Daten regelt Art. 26 DS-GVO. Konsequenz dessen ist die gemeinsame Haftung beider Verantwortlicher, sodass sie zusammen eine Vereinbarung zur Erfüllung ihrer Pflichten, wie beispielsweise der Informationspflichten, abschließen müssen. Danach müsste Facebook dem Fanpage-Betreiber diverse Informationen über die Datenverarbeitungen offenlegen, damit letzterer seinen Informationspflichten nachkommen kann. Inwiefern Facebook die Fanpage-Betreiber letztendlich dahingehend unterstützen wird, bleibt abzuwarten.

NOCH FRAGEN?

Wir freuen uns auf Ihre Anfrage zu diesem und weiteren Themen!

KONTAKT AUFNEHMEN

Messenger-Dienste auf betrieblichen Smartphones

Wir gehen darauf ein, welche Gefahren Messenger-Apps wie WhatsApp auf betrieblichen Smartphones mit sich bringen.

Messenger-Dienste auf betrieblichen Smartphones

Einführung

Im Zeitalter der Digitalisierung lösen internetbasierte Instant-Messenger-Dienste wie WhatsApp die früher so beliebte SMS nahezu vollkommen ab. Momentan nutzen rund 1,5 Milliarden Menschen weltweit WhatsApp. Allein diese Zahl verdeutlicht, wie alltagstauglich internetbasierte Messenger-Dienste geworden sind. Doch Messenger-Dienste spielen nicht nur im Privatleben der Menschen eine Rolle, sondern vermehrt auch im beruflichen Alltag. Mit der Bereitstellung eines beruflichen Smartphones vom Arbeitgeber sind die Kommunikationsplattformen auch dort zu einem festen Bestandteil geworden. Aber Achtung: diese Dienste sind aus datenschutzrechtlicher Sicht mit Vorsicht zu genießen.

Vorteile der Nutzung von WhatsApp auf dem betrieblichen Smartphone

WhatsApp ist ein Instant-Messenger-Dienst und wird zum Austausch von Textnachrichten, Bild-, Video- und Ton-Dateien aber auch Kontaktdaten, Dokumenten und Standortinformationen genutzt. Als deutschlandweit eine der meist genutzten Apps und mehr als 1,5 Milliarden Nutzern weltweit ist der Messenger-Dienst auch in der unternehmerischen Nutzung sehr beliebt. Arbeitgeber koppeln häufig ein betriebliches Smartphone mit einer erlaubten Privatnutzung oder fördern die Verwendung privater Smartphones zu unternehmerischen Zwecken, damit das für den Arbeitnehmer attraktiver ist. Neben WhatsApp zählen auch Outlook oder andere E-Mail-Clients zu den genutzten Diensten auf einem betrieblichen Smartphone.

Probleme, die WhatsApp mit sich bringt

So attraktiv die Nutzung von WhatsApp auf dem betrieblichen Smartphone ist, so viele Probleme bringt sie jedoch auch mit sich. Bereits im Frühjahr 2017 kam das Amtsgericht Bad Hersfeld (Beschl. v. 20.03.2017, Az. F 111/17) zu dem Ergebnis, dass Nutzer von WhatsApp durch die Funktionsweise der fortlaufenden Datenübermittlung von Kontaktdaten aus dem Smartphone-Adressbuch an das US-Unternehmen ohne die Einholung einer Erlaubnis der Kontaktpersonen aus dem Adressbuch gegenüber diesen Personen eine deliktische Handlung begehen.

Zugriff auf das Adressbuch

Datenschutzrechtliche Probleme bringt bereits die Kernfunktionsweise von WhatsApp mit sich. Stimmt der Nutzer den Nutzungsbedingungen von WhatsApp zu, so erstellt WhatsApp eine Liste mit allen Kontakten aus dem Adressbuch des Smartphones. Diese Liste wird mit den bereits auf dem WhatsApp-Server befindlichen Kontakten abgeglichen. Damit gewährt der Nutzer WhatsApp einen Zugriff auf sowohl die Kontakte, die selbst auch die Plattform nutzen, als auch solche, die es nicht tun. Faktisch führt diese Vorgehensweise zu einer Zwangsvernetzung. Zwar hat der Nutzer eingewilligt, dass WhatsApp auf sein Adressbuch zugreift, problematisch ist jedoch, dass die Einwilligung der Personen fehlt, deren Daten sich im Adressbuch befinden, die aber noch nicht mit WhatsApp vernetzt sind.

Nach dem Grundsatz des Verbots mit Erlaubnisvorbehalt bedarf es im betrieblichen Umfeld für die Übermittlung der Kontaktdaten an einen in den Vereinigten Staaten von Amerika befindlichen Server eines Erlaubnistatbestandes nach Art. 6 und 44 ff. DS-GVO. Eine Rechtsgrundlage zur Übermittlung der Kontaktdaten wird aufseiten des WhatsApp Nutzers nur dann nicht benötigt, wenn dieser den Messenger rein im privaten Umfeld nutzt. Denn nach Art. 2 Abs. 2 lit. c) DS-GVO findet die Datenschutz-Grundverordnung dann keine Anwendung, wenn die Verarbeitung durch eine natürliche Person zur Ausübung ausschließlich persönlicher oder familiärer Tätigkeiten erfolgt (so auch schon § 1 Abs. 1 S. 2 BDSG a. F.).

Soweit die Ausnahme nach Art. 2 DS-GVO nicht einschlägig ist, kommt für die Verarbeitung der Kontaktdaten nach überwiegender Auffassung allein die Einwilligung der Betroffenen in Betracht. Für eine solche wirksame Einwilligung gilt es allerdings, den Betroffenen über die vollständigen Verarbeitungsvorgänge zu informieren sowie die Betroffenenrechte umsetzen zu können. Mangels Kenntnis der Datenübertragung liegt die Einwilligung des Betroffenen jedoch denkbar fern, womit der Zugriff auf das Adressbuch eine rechtswidrige Handlung darstellt, wofür ggf. der Arbeitgeber des Nutzers, welcher WhatsApp den Zugriff gewährt, einzustehen hat.

Das AG Bad Hersfeld lehnte in oben zitiertem Beschluss die Einordnung dieser Zugriffsmöglichkeit als Verletzungshandlung nach dem Bundesdatenschutzgesetz (BDSG a.F) ab, da das BDSG a.F bei rein persönlichen Tätigkeiten nicht eingreift, vgl. § 1 Abs. 1 S. 2 BDSG a. F. Wird ein Smartphone und damit auch WhatsApp jedoch auch betrieblich genutzt, greift diese Ausnahme nicht ein und ein datenschutzrechtlicher Verstoß bleibt möglich. Unabhängig davon kann sich der Nutzer von WhatsApp nach § 823 Abs. 2 BGB in Verbindung mit dem informationellen Selbstbestimmungsrecht aus Art. 1 Abs. 1 iVm. Art. 2 Abs. 1 GG schadensersatzpflichtig machen. Das informationelle Selbstbestimmungsrecht ist eine Ausprägung des verfassungsrechtlich geschützten allgemeinen Persönlichkeitsrechts und umfasst das Recht des Einzelnen, über die Preisgabe und Verwendung seiner persönlichen Daten selbst zu bestimmen. Der deliktische Anspruch aus § 823 Abs. 2 BGB iVm. einem Schutzgesetz ist auch nicht von § 7 BDSG-alt gesperrt (vgl. BT-Drs. 14/4458). Zudem kann der Nutzer keine Ausführungen zu den konkreten Datenverarbeitungen machen und damit nicht die Betroffenenrechte aus der Datenschutz-Grundverordnung (DS-GVO) wie beispielsweise das Auskunftsrecht nach Art. 15 Abs. 1 DS-GVO erfüllen.

Des Weiteren speichert WhatsApp auch alle Metadaten. Das sind Informationen darüber, wer mit wem wann mit welcher Speichergröße und welcher Art kommuniziert hat.

Datenverarbeitungen durch WhatsApp

Zunächst empfängt die WhatsApp Ireland Limited die gespeicherten Daten. Von dort aus werden die Daten zunächst intern mit den Facebook-Unternehmen geteilt, denen WhatsApp seit 2014 unterliegt. Zu guter Letzt verlässt ein Teil der Daten das Unternehmen und nimmt den Weg zu externen Partnern von Facebook auf. Hier kommt es auch zu Datenübermittlungen außerhalb der EU in Drittländer, wo sie wiederum verarbeitet und gespeichert werden.

Verantwortlichkeit bei einem Geschäftshandy

Grundsätzlich liegt die Verantwortlichkeit in datenschutzrechtlicher Hinsicht bei dem Nutzer des Messenger-Dienstes. Danach könnte also der Arbeitnehmer für die Einhaltung des Datenschutzrechts verantwortlich sein. Stellt ein Arbeitgeber seinem Angestellten ein Geschäftshandy zur betrieblichen Verwendung zur Verfügung, so liegt die Verantwortlichkeit jedenfalls diesbezüglich nicht bei dem Nutzer des Smartphones, sondern bei dem Arbeitgeber. Dieser muss diverse datenschutzrechtliche Pflichten erfüllen und haftet im Falle eines Verstoßes gegen geltendes Datenschutzrecht. Aus diesem Grund sollte der Arbeitgeber sich bereits vor der Einführung von betrieblichen Smartphones über die datenschutzkonforme Nutzung der Geräte und der Kommunikationsmöglichkeiten informieren.

Besonderheiten können sich jedoch dann ergeben, wenn der Arbeitgeber dem Arbeitnehmer eine private Nutzung des betrieblichen Smartphones gestattet. Der Arbeitnehmer sollte auf Anweisung des Arbeitgebers die private von der betrieblichen Nutzung strikt trennen und mithilfe technischer Mittel wie beispielsweise einem Mobile Device Management die Trennung von privaten und betrieblichen Daten sicherstellen. Dies dient beispielsweise dem Zweck, dass zu betrieblichen Zwecken verarbeitete Kontaktdaten nicht übermittelt werden.

Dennoch haften primär Arbeitgeber gegenüber dem Betroffenen nach Art. 82 DS-GVO. Der Arbeitnehmer haftet dem Arbeitgeber gegenüber im Innenverhältnis nach den Grundsätzen des innerbetrieblichen Schadensausgleichs, in der Regel vollumfänglich jedoch nur im Falle von grober Fahrlässigkeit oder von Vorsatz.

WhatsApp Business – Die betriebliche Version von WhatsApp

WhatsApp Business ist ein für Unternehmen spezifizierter Kanal zur Kommunikation zwischen Händlern und ihren Kunden. Während es bislang unklar war, ob die Nutzung von WhatsApp nach den Lizenzbestimmungen auch zu geschäftlichen Zwecken gestattet war, bestehen nun im Hinblick darauf keine Unklarheiten mehr.

Im Unterschied zum „normalen“ WhatsApp kann in der Business-Version ein Profil des Unternehmens hinterlegt werden, das Unternehmen kann Chats in Kategorien wie beispielsweise Neukunden etc. sortieren, sowie automatische Antworten einrichten. WhatsApp Business ist lediglich kundenfreundlich gestaltet, hat sich datenschutzrechtlich gesehen aber nicht wirklich verändert. Der Nutzer des Messenger-Dienstes braucht nach wie vor eine rechtliche Grundlage für jede Datenverarbeitung. Diese kann in einer eingeholten DS-GVO-konformen Einwilligung des Kunden liegen, oder aber die Datenverarbeitung wird von einem anderen Rechtfertigungsgrund getragen. Greift kein Rechtsfertigungsgrund ein, handelt auch der Nutzer der Business-Version des Messenger-Dienstes unberechtigt und haftet.

Handlungsmöglichkeiten

Datenschutzrechtliche Verstöße nach der DS-GVO werden streng geahndet und sollten daher nicht unterschätzt werden. Die drohenden Bußgelder können bis zu 20 Millionen Euro oder bis zu 4 % des weltweit erzielten unternehmerischen Umsatzes betragen. Aus diesem Grund verbieten bereits zahlreiche Unternehmen ihren Arbeitnehmern die Nutzung von Messenger-Diensten auf dem betrieblichen Smartphone. Wer auf WhatsApp und Co trotz der datenschutzrechtlichen Bedenken nicht verzichten kann, kann einen datenschutzrechtlichen Verstoß gegen die DS-GVO nur dann vermeiden, wenn die Kontaktdaten von Kunden nicht im Kontaktbuch eingetragen und gespeichert werden, sondern beispielsweise nur eine Speicherung in einem internen und verschlüsselten Container erfolgt. Eine alternative Handlungsmethode der Zugriffsverweigerung auf das Adressbuch durch WhatsApp hätte eine beeinträchtigende Funktionsweise zur Folge, indem anstelle des Namens der Kontaktperson nur seine Telefonnummer angezeigt wird oder der Nutzer bei Zugriffsverweigerung zum Zeitpunkt der Installation der App überhaupt keine Kontakte angezeigt bekäme und somit auf eine Kontaktaufnahme durch den Chatpartner warten müsste. Für jeden Anruf wäre die Telefonnummer des Kunden händisch einzutippen. Diese Lösung ist allerdings nicht sehr praktikabel, und in der Praxis bei einem großen Unternehmen mit vielen Kunden auch realistisch kaum umzusetzen.

WhatsApp ist aber nicht der einzige Messangerdienst auf dem Markt. Alternative Möglichkeiten stellen beispielsweise die Messanger Threema, Teamwire, Wire, Signal, Hoccer, Siilo, Beekeeper und SIMSme dar. Diese Dienste geben vor, die Kommunikationsdaten zu verschlüsseln und im Anschluss, ohne sie abzufangen, zu löschen. Die Dienste unterscheiden sich in der konkreten Ausformung, stellen jedoch WhatsApp gegenüber den Nachteil dar, dass die Dienste in der Regel für die Nutzer kostenpflichtig sind, oder aber die Kommunikation nicht über die Telefonnummer des Kunden abläuft, sondern mittels einer eigen für den Dienst entwickelten ID. Im Einzelnen sind die Dienste jeweils auf einen bestimmten speziellen Markt ausgerichtet, wie zum Beispiel Siilo sich speziell an Ärzte, Kliniken und Zahnmediziner richtet und die sensiblen Patientendaten entsprechend behandelt.

Fazit

Zusammenfassend kann man sagen, dass die Benutzung von Messenger-Diensten datenschutzrechtlich nicht unproblematisch ist und daher ein hohes Haftungspotential mit sich bringt. Vorreiter der datenschutzrechtlich kritisiertesten Nachrichtendienste ist WhatsApp, durch welches sich der Nutzer einer hohen Gefahr der Haftung aussetzt. Bei der Bereitstellung eines betrieblichen Smartphones tritt an Stelle des App-Nutzers die Verantwortlichkeit des Arbeitgebers. Neben der ausreichenden Berücksichtigung des Beschäftigtendatenschutzes sollte der Arbeitgeber sich bereits im Vorfeld verschiedene technische Sicherungsmittel der Daten und sichere Kommunikationsmöglichkeiten überlegen.

NOCH FRAGEN?

Wir freuen uns auf Ihre Anfrage zu diesem und weiteren Themen!

KONTAKT AUFNEHMEN

EU-US-Datenschutzschild – die aktuelle Entwicklung

Zur aktuellen Entwicklung des EU-US-Datenschutzschildes: die Kommission pocht auf Ernennung einer ständigen Ombudsperson.

EU-US-Datenschutzschild – die aktuelle Entwicklung

Einführung

Die EU-Kommission hat am 19. Dezember 2018 die US-Behörden dazu aufgefordert bis zum 28. Februar 2019 eine ständige Ombudsperson für den Datenschutz zu benennen. Deren Aufgabenbereich soll sich zukünftig auf die Bearbeitung von Beschwerden erstrecken, die sich auf den von US-Behörden vorgenommenen Zugriff auf personenbezogene Daten von EU-Bürgern beziehen. Es handelt sich dabei um solche personenbezogenen Daten, die explizit aufgrund des EU-US-Datenschutzschilds an hieran teilnehmende Unternehmen in den USA übermittelt werden.

Das EU-US-Datenschutzschild und die aktuelle Lage

Am 12. Juli 2016 wurde das EU-US-Datenschutzschild beschlossen, welches am 1. August 2016 in Kraft trat. Das EU-US-Datenschutzschild ist ein vom US-Handelsministerium in Kooperation mit der EU-Kommission eingerichtetes Programm. Primäres Ziel des EU-US-Datenschutzschild ist der Schutz der personenbezogenen Daten von EU-Bürgern und die Sicherstellung von Rechtssicherheit für Unternehmen. Es zeichnet sich durch strenge Datenschutzstandards aus, wodurch einem Missbrauch der Daten von EU-Bürgern vorgebeugt werden soll.

Das Datenschutzschild bildet den Nachfolger des Datenschutzabkommens Safe Harbor, welches letztlich als rechtlich nicht haltbar eingestuft wurde. Dieses Abkommen war in vielerlei Hinsicht nachteilhaft und somit zukünftig nicht mehr praktikabel. Es galt beispielsweise nur für amerikanische Unternehmen und nicht für Behörden der USA. Einen weiteren, für sein Scheitern letztlich ausschlaggebenden Kritikpunkt bildete die nicht vorhandene Möglichkeit des gerichtlichen Rechtsschutzes europäischer Bürger gegen die Maßnahmen durch die US-Behörden.

Die zweite Überprüfung des EU-US-Datenschutzschilds

Am 18. Oktober 2018 wurde eine erneute Überprüfung des EU-US-Datenschutzschilds vorgenommen. Beteiligt an den Sitzungen im Rahmen der Überprüfung waren die Vertreter aller US-Ministerien, deren Zuständigkeit im Bereich der Durchführung des Datenschutzschilds liegt. Hierunter fallen die Federal Trade Commission, das Office of the Director of National Intelligence, das Justizministerium und das Außenministerium.

Ergebnisse der Überprüfung

Die Umsetzung der erforderlichen Maßnahmen, namentlich der Ausbau der Zertifizierungsverfahren durch das US-Handelsministerium und die daran anknüpfende Intensivierung der Überwachung des datenschutzrechtlichen Rahmens führen zur Möglichkeit einer schnellen Überprüfung, ob die aus dem Datenschutzschild resultierenden Bedingungen tatsächlich eingehalten werden. Die Einführung einer sogenannten Systemkontrolle soll durch ein Zufallsprinzip prüfen, ob die vom Datenschutzschild vorgegebenen Grundsätze auch umgesetzt wurden. Das Datenschutzschild wird von den Teilnehmern der Sitzung als Erfolg eingestuft. Als Grund hierfür ist eindeutig die Zertifizierung großer Konzerne aus der digitalen Wirtschaft anzuführen. Aktuell wurden insgesamt über 3850 Unternehmen zertifiziert. Bei der Aufnahme eines Unternehmens in die Datenschutzschild-Liste ist von der Einhaltung der entsprechenden Datenschutzstandards auszugehen. Ein dauerhaft gleichbleibender Datenschutzstandard wird dabei durch eine jährlich vorzunehmende erneute Zertifizierung sichergestellt. Die zuständige Kommission sieht hierin einen operativen Rahmen, der geeignet ist eine kontinuierliche Verbesserung vorzunehmen und darauf basierend die Funktionsweise des Datenschutzschilds verbessert.

Notwendigkeit der Ernennung einer Ombudsperson

Zur dauerhaften Aufrechterhaltung eines angemessenen Datenschutzniveaus und Gewährleistung eines irgend gearteten Rechtsbehelfs ist die Ernennung einer Ombudsperson die notwendige Konsequenz. Die Ombudsperson soll sich um Beschwerden über den Zugriff von US-Behörden auf personenbezogene Daten kümmern, die aus der EU im Rahmen des Privacy Shields an teilnehmende Unternehmen in den USA übermittelt werden.

Der Kommissionsvizepräsident formulierte klar und deutlich den Wunsch nach der Benennung einer ständigen Ombudsperson bis spätestens 28.02.2019, damit zwischen EU und USA im Datenschutzbereich ein uneingeschränktes Vertrauen zu Recht vorherrschen darf. Im Falle der stetigen Umsetzung der von der EU-Kommission präsentierten Empfehlungen würde ein höheres Datenschutzniveau gewährleistet. Offen formulierte die Kommission, bei Nichtbenennung einer Ombudsperson geeignete Maßnahmen im Einklang mit der Datenschutz-Grundverordnung zu ergreifen.

Arbeitsweise der US-Wettbewerbsbehörde

Die US-Wettbewerbsbehörde („Federal Trade Commission“) nimmt eine Überwachung der Grundsätze des Datenschutzschilds vor und ist berechtigt im Falle von Unklarheiten die am Datenschutzschild partizipierenden Unternehmen vorzuladen und zu befragen.

Bei der Zertifizierung eines US-Unternehmens unter dem EU-US-Datenschutzschild ist das Unternehmen verpflichtet die betroffene Person vor einer geplanten Datenübermittlung in Kenntnis zu setzen und ihr so die freie Wahl im Hinblick auf eine Zustimmung oder Ablehnung selbst zu überlassen.

Zwingende Voraussetzung für den Beitritt zum EU-US-Datenschutzschild ist die Vornahme einer jährlichen neuen Zertifizierung. Zertifizierungen nach Art. 42 DS-GVO werden für eine Höchstdauer von drei Jahren erstellt und können ggf. verlängert werden.

Fazit

Das EU-US-Datenschutzschild soll das Vertrauen der Europäer in einen funktionierenden Datenschutz durch Gewährleistung von absoluter Datensicherheit wiederherstellen. Eine zentrale Rolle spielt hierbei die Ernennung einer ständigen Ombudsperson.

Allen am EU-US-Datenschutzschild teilnehmenden Unternehmen wird die Einhaltung der erforderlichen Mindeststandards, die Europa im Bereich des Datenschutzes fordert, belegt. Dies erleichtert den Geschäftsverkehr für alle Beteiligten. Die Einholung zusätzlicher Genehmigungen von Unternehmen in den USA ist folglich entbehrlich.

In Anbetracht der zu beobachtenden Entwicklung der digitalen Wirtschaft sollte das EU-US-Datenschutzschild seinen Ruf als funktionierendem Instrument der Datensicherung durch stetige Weiterentwicklung und Durchführung der entsprechenden Maßnahmen gerecht werden.

NOCH FRAGEN?

Wir freuen uns auf Ihre Anfrage zu diesem und weiteren Themen!

KONTAKT AUFNEHMEN

Geldentschädigungen für Verletzungen des Rechts am eigenen Bild

Wir berichten, wann eine Verletzung des Persönlichkeitsrechts einen Entschädigungsanspruch ermöglicht.

Geldentschädigung für Verletzungen des Rechts am eigenen Bild

Zum Sachverhalt

Im Urteil vom 22.11.2018 (Az. I-4 U 140/17) hat das OLG Hamm Stellung dazu bezogen, wann eine Verletzung des Rechts am eigenen Bild einen Anspruch des Verletzten auf eine Geldentschädigung gegen den Schädiger zur Folge haben kann.

Im vorliegenden Fall wurde der Kläger vom Beklagten gefilmt, wie er im Rahmen seiner beruflichen Tätigkeit am Flughafen das Gepäck des beklagten Touristen kontrollierte. Der gefilmte Gepäckkontrolleur erhob daraufhin Klage auf Zahlung einer Geldentschädigung wegen der Verletzung seines allgemeinen Persönlichkeitsrechts.

Aus dem Urteil

In seiner Entscheidung arbeitet das OLG Hamm heraus, dass nicht jede Verletzung des allgemeinen Persönlichkeitsrechts – und damit auch nicht jede Verletzung des Rechts am eigenen Bild – einen Anspruch des Verletzten auf eine Geldentschädigung gegen den Schädiger auslöst.

Das OLG Hamm stützte sich dabei auf die Grundsätze des Urteils des BGHs vom 12.12.1995 (VI ZR 223/94). Demnach begründet die „– schuldhafte – Verletzung des allgemeinen Persönlichkeitsrechts einen Anspruch auf eine Geldentschädigung nur, wenn es sich um einen schwerwiegenden Eingriff handelt und die Beeinträchtigung nicht in anderer Weise befriedigend aufgefangen werden kann.“

Dabei ist auf die Umstände des Einzelfalls abzustellen. Zu berücksichtigen sind dabei die Bedeutung und Tragweite des Eingriffs, also das Ausmaß der Verbreitung der Veröffentlichung, die Nachhaltigkeit und Fortdauer der Interessen- oder Rufschädigung des Verletzten, ferner Anlass und Beweggrund des Handelnden sowie der Grad seines Verschuldens.

Das Gericht hat folgende Umstände berücksichtigt:

Zwar hat der Beklagte die Videosequenz bewusst und heimlich aufgenommen; dies vermag jedoch keine schwerwiegende Verletzung des Persönlichkeitsrechts des Klägers zu begründen. Die Aufnahme fand in dem öffentlich, bzw. für jeden Besucher des Flughafens mit einer Bordkarte zugänglichen Gepäckkontrollbereich des Flughafens statt.
Der Beklagte hat zwar die Aufnahme auf einer Internetplattform veröffentlicht; dies geschah jedoch im Rahmen eines längeren Videozusammenschnitts, so dass diese – lediglich eine, höchstens zwei Sekunden lange – Szene mit dem Kläger innerhalb der einzelnen Videos nicht mehr als ein Beiwerk darstellt. Durch das Veröffentlichen auf einer Internetplattform verwertet der Beklagte das Video auch wirtschaftlich. Da die Szene aber nur einen kurzen Teil des hochgeladenen Videos darstellt, kann indes nicht von einem schwerwiegenden Eingriff in das Persönlichkeitsrecht gesprochen werden.
Schließlich liegt auch kein Fall einer hartnäckigen Rechtsverletzung vor, in dem der Verletzer sich bei der Verwendung von Bildnissen über den ausdrücklich erklärten entgegenstehenden Willen des Verletzten hinweggesetzt hat.

Das OLG Hamm berücksichtigte, dass die Veröffentlichung der Filmsequenz und die damit ausgelöste Beeinträchtigung des Persönlichkeitsrechts des Klägers nicht mehr rückgängig gemacht werden kann. Ebenso kann auch die Verurteilung des Beklagten zur Unterlassung und zur Vernichtung und Löschung des Bild- und Tonmaterials keinen Ausgleich bieten. Darum sollen geringere Anforderungen an die Zubilligung eines Geldentschädigungsanspruchs gestellt werden.

Jedoch ist die veröffentlichte Filmsequenz mangels schwerwiegenden Eingriffs nicht geeignet, die Persönlichkeit des Klägers in ihren Grundlagen zu berühren oder beim Kläger ein Gefühl des Ausgeliefertseins hervorzurufen, welches ein unabweisbares Bedürfnis für eine Geldentschädigung begründen könnte.

NOCH FRAGEN?

Wir freuen uns auf Ihre Anfrage zu diesem und weiteren Themen!

KONTAKT AUFNEHMEN

Die gemeinsame Verantwortlichkeit nach Art. 26 DS-GVO

Wir erklären, was eine gemeinsame Verantwortlichkeit im Sinne der DS-GVO ist und welche Rechtsfolgen mit ihr einhergehen.

Die gemeinsame Verantwortlichkeit nach Art. 26 DS-GVO

Einführung

Art. 26 Abs. 1 S. 1 Datenschutz-Grundverordnung (DS-GVO) kodifiziert das Rechtsinstitut der gemeinsamen Verantwortlichkeit. Dies ist notwendig, da viele Datenverarbeitungen nicht isoliert von einem Verantwortlichen vorgenommen werden, sondern durch Arbeitsteilung mehrere Stellen mit den betroffenen Daten in Berührung kommen. So soll die betroffene Person, deren personenbezogene Daten verarbeitet werden, jedem Verantwortlichen gegenüber ihre Rechte ausüben können. Eine vergleichbare, unmittelbar geltende europäische Norm existierte bislang nicht. Zwar sah die Datenschutzrichtlinie 95/46/EG eine gemeinsame Verantwortlichkeit in Teilen vor, allerdings benannte sie keine rechtlichen Konsequenzen dieser Verantwortlichkeit. Im BDSG a.F. gab es keinerlei Vorschriften zur gemeinsamen Verantwortlichkeit.

Prominentes Beispiel für die Anwendung von Art. 26 DS-GVO ist die Entscheidung des EuGH C-210/16, wonach der Betreiber einer Facebook-Fanpage gemeinsam mit Facebook für die Verarbeitung der personenbezogenen Daten der Besucher seiner Seite verantwortlich ist. Begründet wurde dies damit, dass der Betreiber durch die von ihm vorgegebenen Informationen für sein Zielpublikum an der Entscheidung über die Zwecke und Mittel der Verarbeitung der personenbezogenen Daten der Besucher seiner Fanpage beteiligt ist. Zum Beispiel kann der Betreiber Informationen über das Alter, Geschlecht, Beziehungsstatus und berufliche Situation, Lebensstil und Interessen seiner Zielgruppe einholen.

Tatbestandsvoraussetzungen

Eine gemeinsame Verantwortlichkeit liegt nach Art. 26 Abs. 1 S. 1 DS-GVO vor, wenn zwei oder mehr Verantwortliche gemeinsam die Zwecke der und die Mittel zur Datenverarbeitung festlegen. Das heißt, sie müssen tatsächlich Einfluss auf die Entscheidung nehmen können. Inhaltlich geht es um die Entscheidung über den Zweck, also das erwartete oder beabsichtigte Ergebnis, und das Mittel, also die Art und Weise der Zielerreichung, so die Art. 29-Datenschutzgruppe.

Dabei ist es notwendig, dass alle Beteiligten der Datenverarbeitung wesentlich an der Entscheidung über das „Warum“ und das „Wie“ der Datenverarbeitung beteiligt sind und die Zusammenarbeit von den Beteiligten gewollt und ihnen bewusst ist. Das bedeutet, dass eine zufällige Zusammenarbeit der Beteiligten für eine gemeinsame Verantwortlichkeit nicht ausreicht. Maßgeblich ist also die kooperative Determinierung des Ziels der Datenverarbeitung und der Instrumente für diese Verarbeitung der Daten. Dabei ist zu berücksichtigen, dass die Beteiligten sich nicht gleichermaßen an der Entscheidung beteiligen müssen, sondern der Tatbeitrag durchaus unterschiedlich gestaltet sein kann. Das bedeutet, dass das Gesetz den Verantwortlichen verschiedene Möglichkeiten der Zusammenarbeit eröffnet. Die Formulierung „gemeinsam“ bedeutet also nicht gleichermaßen, sondern „zusammen mit“ oder „nicht alleine“.

Abgrenzung von der Auftragsverarbeitung

Die gemeinsame Verantwortlichkeit ist von der Auftragsverarbeitung abzugrenzen. Die Auftragsverarbeitung ist in Art. 28 Abs. 1 DS-GVO geregelt und zeichnet sich dadurch aus, dass es nur aufgrund eines Auftrags vom Verantwortlichen zu einer Datenverarbeitung kommt. Im Unterschied zur gemeinsamen Verantwortlichkeit, bei der alle Beteiligten einen Entscheidungsspielraum haben, kann der Auftragnehmer keinen eigenen Einfluss auf die Datenverarbeitung nehmen. Charakteristisch für die Auftragsverarbeitung ist die Weisungsgebundenheit des Auftragnehmers.

Rechtsfolgen einer gemeinsamen Verantwortlichkeit

Art. 26 Abs. 1 S. 2 DS-GVO normiert die Rechtsfolgen einer gemeinsamen Verantwortlichkeit. Danach müssen die an der Datenverarbeitung Beteiligten eine Vereinbarung treffen, in der sie bestimmen, wer von ihnen welche Verpflichtungen aus der DS-GVO erfüllt. Insbesondere haben sie sich über die Wahrung der Rechte von Betroffenen zu einigen und über die Erfüllung ihrer Informationspflichten aus Art. 13 und 14 DS-GVO.

Besonders hervorzuheben ist Art. 26 Abs. 3 DS-GVO. Die von der Datenverarbeitung betroffene Person kann ihre Rechte gegenüber jedem Verantwortlichen geltend machen. In Art. 82 Abs. 4 DS-GVO hat der Gesetzgeber ausdrücklich eine gesamtschuldnerische Haftung der gemeinsam Verantwortlichen normiert, um die Rechte des Betroffenen zu stärken. Damit kann ein nach der DS-GVO Verantwortlicher sich im Außenverhältnis nicht der Haftung entziehen. Wenn der Betroffene mehreren Verantwortlichen ausgesetzt ist, soll er seine Rechte auch gegenüber allen Verantwortlichen geltend machen können. Steht ein Verantwortlicher nach Art. 82 Abs. 4 DS-GVO für den gesamten Schadensersatz ein, kann er die anderen Verantwortlichen nach Art. 82 Abs. 5 DS-GVO in Regress nehmen.

Unterliegen die an der Datenverarbeitung Beteiligten der gemeinsamen Verantwortung, erfüllen ihre Pflichten aus der DS-GVO aber nicht, so drohen ihnen nach Art. 83 Abs. 4 lit. a DS-GVO Bußgelder bis zu 10 Millionen Euro oder bis zu 2 % des gesamten weltweit erzielten unternehmerisch erzielten Jahresumsatzes.

Abgrenzung der gemeinsamen Verantwortlichkeit von der alleinigen Verantwortlichkeit

Während die gemeinsame Verantwortlichkeit von der Auftragsverarbeitung an recht eindeutigen Kriterien abgegrenzt werden kann, ist die Abgrenzung der gemeinsamen Verantwortlichkeit (Joint Controller) von der alleinigen Verantwortlichkeit etwas kniffliger.

Die Art. 29-Datenschutzgruppe gab eine Einschätzung zur Rechtslage unter der Datenschutz-Richtlinie ab, die jedoch heute teilweise weiter vertreten wird. Diese Auffassung basiert auf einem funktionellen Ansatz. Sehr weit gefasst bedarf es keiner gleichwertigen Beteiligung jedes Verantwortlichen, sondern die Einbindung jedes Beteiligten kann unterschiedlich ausfallen. Des Weiteren reicht nach Ansicht der Art. 29-Datenschutzgruppe auch das alternative Vorliegen von entweder einer gemeinsamen Entscheidung über Zweck oder Mittel der Datenverarbeitung von den an der Verarbeitung Beteiligten zum Bejahen einer gemeinsamen Verantwortlichkeit. Diese Ansicht verstößt aber schon gegen den Wortlaut des Art. 26 Abs. 1 S. 1 DS-GVO. Das Gesetz fordert ausdrücklich die kumulative Entscheidung über den Zweck und die Mittel zur Datenverarbeitung und lässt somit wenig Interpretationsspielraum. Aus diesem Grund überzeugt die sehr weit gefasste Ansicht nicht.

Aus diesem Grund fordert die Gegenseite für die Bejahung einer gemeinsamen Verantwortlichkeit sowohl das gemeinsame Bestimmen eines Zweck und der Mittel. Das kann sowohl aus Art. 26 Abs. 1 S. 1 DS-GVO, als auch aus Erwägungsgrund 79 der DS-GVO abgeleitet werden. Diese insgesamt doch engere Auslegung entspricht auch der effektiven Umsetzung der DS-GVO. Für eine eindeutige Rechtsklarheit muss die Grenze zwischen der gemeinsamen und der einzelnen Verantwortlichkeit deutlich sein. Eine recht weite Auslegung würde jedoch dazu führen, dass die Grenze verschwimmt, was wiederum zu einer Rechtsunsicherheit führen würde. Damit müssen die Beteiligten sowohl über Zweck als auch Mittel entschieden haben. Der Telos, der in erster Linie der umfassende Schutz der betroffenen Person ist, wird sowohl bei einer gemeinsamen als auch bei einer alleinigen Verantwortlichkeit durch die DS-GVO umfassend gewahrt und damit nicht ausschlaggebend ist.

Fazit

Damit ist festzuhalten, dass zunächst die Eigenschaft als Verantwortlicher nach Art. 4 Nr. 7 DS-GVO zu prüfen ist. Kann diese bejaht werden, so muss nach Art. 26 Abs. 1 S. 1 DS-GVO die Beziehung der an der Datenverarbeitung Beteiligten und damit die gemeinsame Verantwortlichkeit nachvollzogen und überprüft werden.

NOCH FRAGEN?

Wir freuen uns auf Ihre Anfrage zu diesem und weiteren Themen!

KONTAKT AUFNEHMEN

Die EU-Standardvertragsklauseln zur Datenverarbeitung

Alles rund um die EU-Standardvertragsklauseln: die Unterscheidung im Verhältnis Controller-Controller und Controller-Prozessor sowie die Neuerungen durch die DS-GVO

Die EU-Standardvertragsklauseln zur Datenverarbeitung

Zum Hintergrund

Mit der fortschreitenden Übermittlung von Daten von einem europäischen Unternehmen an ein in einem Drittland niedergelassenen Unternehmen im Rahmen der Globalisierung steigt auch das Interesse an der Einhaltung eines angemessenen Datenschutzniveaus, angelehnt an den europäischen Datenschutz. Aufgrund der Vermutung, dass Drittländer kein ausreichendes, den europäischen Vorgaben entsprechendes Datenschutzniveau erfüllen, sofern die EU-Kommission für das jeweilige Drittland kein angemessenes Datenschutzniveau anerkannt hat, entwickelte man verschiedene Instrumente, die Vertragsparteien in ihre Vereinbarungen aufnehmen können, um ein angemessenes Datenschutzniveau herzustellen, da die Datentransfers andernfalls unzulässig wären.

Die Standardvertragsklauseln

Eins dieser Instrumente sind die Standardvertragsklauseln, die in drei verschiedene Versionen genutzt werden können. Zum einen gibt es zwei verschiedene Standardvertragsklauseln für die Datenübermittlung zwischen für die Verarbeitung Verantwortlichen (Controller-Controller-Transfer), die sich in der Haftung, Bindung an aufsichtsbehördliche Hinweise und die Gestaltungs- bzw. Ergänzungsspielräume unterscheiden, und die Standardvertragsklauseln für die Datenübermittlung zwischen für die Verarbeitung Verantwortlichen und nach deren Weisung handelnden Auftragsdatenverarbeitern (Controller-Prozessor-Transfer). Die Identität der Vertragsparteien ist also für die Auswahl der Standardvertragsklauseln entscheidend. Die Standardvertragsklauseln ersetzen jedoch nicht die vertragliche Vereinbarung zwischen den Parteien, sondern ergänzen sie um eine gesonderte Vereinbarung.

Set II: Controller-Controller

Das Modell „Set II“ der Standardvertragsklauseln (2004/915/EG) für das Verhältnis zwischen zwei Controllern, wurde von mehreren Wirtschaftsverbänden als sogenannte „alternative Standardvertragsklauseln“ entworfen und der Europäischen Kommission zur Genehmigung vorgelegt. Im Ergebnis ist auffällig, dass das Set II den Erfordernissen der Wirtschaft deutlich besser Rechnung trägt und somit gegenüber Set I vorzugswürdig ist.

Ein Controller-to-Controller-Verhältnis liegt vor, wenn es eine Datenübermittlung zwischen zwei verantwortlichen Stellen gibt. Der Datenimporteur hat, im Gegensatz zum Auftragsdatenverarbeiter, eine Entscheidungsbefugnis in Bezug auf den Zweck und die Art der Datenverarbeitung.

Set II wurde entwickelt, um die Wirtschaftsteilnehmer zur intensiveren Nutzung von Vertragsklauseln zu veranlassen, womit man für den Adressat attraktive Veränderungen schuf. Zu den Unterschieden im Vergleich zu Seit I gehören im Einzelnen flexiblere Prüfungspflichten und eine präzisere Regelung des Auskunftsrechts. Anders als Set I, das eine gesamtschuldnerische Haftung vorsieht, regelt Set II ein anderes Haftungssystem, bei dem auf die Sorgfalt abzustellen ist und nach dem sowohl der Datenexporteur als auch der Datenimporteur für die Verletzung ihrer jeweiligen Vertragspflichten haften. Zudem trifft den Datenexporteur ein Auswahlverschulden: er muss sich nach Klausel 1 lit. b des Standardvertrags (2004/915/EG) im Rahmen des Zumutbaren davon überzeugen, dass der Datenimporteur seine Rechtspflichten aus diesen Klauseln erfüllen kann. Ferner treffen den Datenexporteur weitere Pflichten in Bezug auf die Beschwerdeabhilfe des Drittbegünstigten. Diese Pflichten zeichnen sich in der Kontaktaufnahme zum Datenimporteur und in der Durchsetzung der Einhaltung der Vertragspflichten nach Klausel 1 lit. e nieder. Dem Betroffenen stehen ebenfalls Rechte der Rechtsverfolgung bei Nichteinhaltung der vertraglichen Pflichten durch den Datenexporteur und –importeur zu.

Zum Ausgleich dieser für die Vertragspartner attraktiven Flexibilität und zur Verhinderung möglichen Missbrauchs regeln das Vertragswerk aber ein leichteres Verbot oder Aussetzung von Datenübermittlungen durch die Datenschutzkontrollen im Falle der Weigerung des Datenexporteurs zur Durchsetzung von Vertragspflichten oder der Weigerung des Datenimporteures zur redlichen Zusammenarbeit mit den Datenschutzkontrollen.

Werden allerdings Mitarbeiterdaten an eine andere verantwortliche Stelle im Ausland übermittelt, ist die Verwendung des „Set II“ bezüglich der Übermittlung von Personaldaten nicht ausreichend. Begründet wird das damit, dass das datenexportierende Unternehmen nicht für Schäden einsteht, die die datenimportierende Stelle verursacht und zusätzlich besteht für den Datenexporteur die Option, die Beantwortung von Anfragen Betroffener auf den Datenimporteur zu übertragen. Der Arbeitgeber als Datenexporteur kann in dieser Konstellation aber für den Arbeitnehmer als Betroffenen nicht als umfassender Ansprechpartner fungieren, wofür aber letzterer ein schutzwürdiges Bedürfnis hat. Daher empfehlen wir, mit dem Datenimporteur in dieser Konstellation eine Ergänzungsvereinbarung zu treffen, sofern bei der Datenübermittlung an ein Unternehmen im Ausland Personaldaten betroffen sind. Alternativ kann als Lösung auch „Set I“ gewählt werden.

Set I: Controller-Controller

Im Gegensatz zu Set II liegt dem Set I eine gesamtschuldnerische Haftung zu Grunde. Gegenüber dem Betroffenen haften Datenexporteur und Datenimporteur für Schäden aufgrund jeglicher Verletzung der Bestimmungen, die der Begünstigtenklausel nach Klausel 3 unterliegen. Der Betroffene kann sowohl gegen den Datenexporteur, den –importeur als auch gegen beide vorgehen und Schadensersatz aufgrund eines Schadens wegen einer vertraglichen Pflichtverletzung verlangen. Der Datenexporteur unterliegt der Pflicht, den Betroffenen über die Datenübermittlug in ein Drittland ohne angemessenen Datenschutz in Kenntnis zu setzen und seine Anfragen diesbezüglich zu beantworten. Diese Beantwortungspflicht trifft auch den Datenimporteur, wenn sich der Betroffene an ihn wendet.

Controller-Prozessor

Die Controller-Prozessor-Standardvertragsklauseln sind heranzuziehen, wenn das EU-Unternehmen verantwortliche Stelle ist, der Datenimporteur aber Auftragsdatenverarbeiter. Das ist dann der Fall, wenn der Datenimporteur die Daten nur im Auftrag und nach den Weisungen des Datenexporteurs verarbeitet. Als Beispiele gelten in der Regel Call-Center, Cloud-Computing-Anbieter, externe IT-Admins, Marketingagenturen und externe Personalagenturen.

Bei der Auftragsdatenverarbeitung findet eine Art „Einverleibung“ des Auftragnehmers in das Datenschutzkonzept des Auftraggebers statt, so dass der Datenimporteur beispielsweise die Daten lediglich mit vorheriger Einholung einer schriftlichen Einwilligung des Datenexporteurs weitergeben kann. Er bleibt an die Weisungen des Datenexporteurs gebunden. Es ist die Pflicht des Datenexporteurs, den Datenimporteur zu einer dem anwendbaren Datenschutzrecht und den Klauseln entsprechenden Datenverarbeitung anzuweisen. Zudem bleibt die Haftung in erster Linie bei dem Auftraggeber. Auch hier trifft den Datenexporteuer eine Informationspflicht des Betroffenen sowie eine Beantwortungspflicht von Datenexporteur und –importeur hinsichtlich Anfragen des Betroffenen.

Das Werk der Standardvertragsklauseln kann in drei Teile unterteilt werden. Zunächst kommen die eigentlichen Standardvertragsklauseln, dann folgt der erste Anhang mit Angaben zu der konkreten Datenverarbeitung und ein zweiter Anhang mit Beschreibungen der technischen und organisatorischen Maßnahmen des Datenimporteurs schließt die Standardvertragsklauseln. Optional kann ein dritter Anhang über die Erfüllung des nationalen Rechts hinzugefügt werden.

Die Neuerung der DS-GVO

Die Datenschutz-Grundverordnung (DS-GVO), die ab dem 25. Mai 2018 gilt, sieht zudem die Möglichkeit neuer, speziell für die Auftragsverarbeitung vorgesehener Standardvertragsklauseln vor. Nach Art. 28 Abs. 7, 8 DS-GVO hat die EU-Kommission dazu die Erlass-Befugnis, sowie auch eine Aufsichtsbehörde im Einklang mit dem Kohärenzverfahren.

Die von Art. 28 DS-GVO benannten Standardvertragsklauseln sind nicht die bislang existierenden, allgemein bekannten Standardvertragsklauseln, sondern vollkommen neue, jedoch wurden sie noch nicht von der dafür zuständigen Stele erlassen.

Den Parteien bleibt es künftig überlassen, die Standardvertragsklauseln überhaupt, komplett oder nur teilweise für ihre vertraglichen Vereinbarungen heranzuziehen. Somit sind für die Vertragsparteien auch individualvertragliche Vereinbarungen möglich. Die Verantwortlichen haben sicherzustellen, einen ausreichenden Datenschutz einzuhalten und gegen keine Regelungen der DS-GVO zu verstoßen.

Die Neuerung in der DS-GVO schafft die Möglichkeit weitergehender standardisierter Prozesse und Verarbeitungen. Beispiele dafür können Cloud-, Hosting- und Infrastrukturdienste oder Software-as-a-Software-Angebote sein. Die Heranziehung von Standardvertragsklauseln als einfache anerkannte Vertragsklauseln schafft einen ausgewogenen und datenschutzfreundlichen Rahmen sowohl für die Verantwortlichen als auch für die Betroffenen.

Zuständig für den Erlass dieser Standardvertragsklauseln sind gemäß Art. 28 Abs. 8 DS-GVO die Aufsichtsbehörde im Einklang mit dem Kohärenzverfahren nach Art. 63 DS-GVO, und gemäß Art. 28 Abs. 7 DS-GVO die EU-Kommission im Einklang mit dem Prüfverfahren nach Art. 93 Abs. 2 DS-GVO. Die Bindung an das Kohärenz- und Prüfverfahren hat jedoch als Folge, dass es aufwändiger europaweiter Abstimmungen bedarf. Somit wird es wohl noch etwas länger dauern, bis man sich auf endgültig einsatzbare Standardvertragsklauseln einigt.

Die bislang bekannten Standardvertragsklauseln wird es künftig unter dem Namen „Standarddatenklauseln“ weiter geben. Diese bleiben auch in ihrer konkreten Ausgestaltung so bestehen, sollte der Europäische Gerichtshof, der momentan über das Kriterium der ausreichenden Garantie hinsichtlich des Schutzes der Privatsphäre für Übermittlungen personenbezogener Daten in Drittländer und damit der Tauglichkeit der Standardvertragsklauseln zur Erfüllung ihres Zwecks, nicht die Untauglichkeit feststellt. Eine Kollision neuer Standardvertragsklauseln ist insofern ausgeschlossen, dass die in den Neuerungen erfasste Konstellation nicht von den bislang vorhandenen Standardvertragsklauseln abgedeckt ist wie die neue Möglichkeit von Standarddatenschutzklauseln für die Übermittlung durch Auftragsverarbeiter.

NOCH FRAGEN?

Wir freuen uns auf Ihre Anfrage zu diesem und weiteren Themen!

KONTAKT AUFNEHMEN

Das richtige Vorgehen bei einer Datenpanne

Wir gehen näher darauf ein, was im Fall einer Datenpanne zu beachten ist und welche Meldepflichten bestehen.

Das richtige Vorgehen bei einer Datenpanne

Einführung

Für Unternehmen stellt sich bei Eintritt einer Datenpanne die Frage, welche Maßnahmen zu ergreifen sind, um sich gesetzeskonform zu verhalten. Unternehmen sind im Falle des Vorliegens einer Datenpanne grundsätzlich verpflichtet die Aufsichtsbehörde in Kenntnis zu setzen. Ihnen obliegt damit eine Meldepflicht nach Art. 33 DS-GVO. Wir möchten Sie darüber informieren, wann Unternehmen der Meldepflicht zwingend nachkommen müssen, in welchen Fällen eine Information der Aufsichtsbehörde genügt und wann zusätzlich der Betroffene selbst informiert werden muss. Für Unternehmen ist dabei auch die Frage relevant, ob und wenn ja, welche Ausnahmen von dieser Meldepflicht bestehen.

Nach Art. 4 Nr. 12 DS-GVO liegt eine Verletzung des Schutzes personenbezogener Daten dann vor, wenn eine Verletzung der Sicherheit, die, ob unbeabsichtigt oder unrechtmäßig, zur Vernichtung, zum Verlust, zur Veränderung, oder zur unbefugten Offenlegung von beziehungsweise zum unbefugten Zugang zu personenbezogenen Daten führt, die übermittelt, gespeichert oder auf sonstige Weise verarbeitet wurden. Art. 4 Nr. 12 DS-GVO umfasst dabei beispielsweise Datenpannen, Datenlecks oder Datendiebstahl.

Die nachfolgenden Schritte sind von Unternehmen im Falle einer Datenpanne vorzunehmen und dienen als Leitfaden. Eine Prüfung im Einzelfall kann dadurch selbstverständlich nicht ersetzt werden.

Bewertung der Datenpanne

Zunächst muss eine Bewertung der Datenpanne erfolgen. Im Rahmen dieser Bewertung durch die Mitarbeiter und den Datenschutzbeauftragten liegt der Schwerpunkt auf der Analyse des Risikos für die Rechte der Betroffenen. Hierbei spielen insbesondere die Kategorie der betroffenen Daten und die Art der Verletzung eine entscheidende Rolle. Der Schweregrad der Datenpanne ist ausschlaggebend für das weitere Vorgehen des Unternehmens. Je höher das Risiko für den Betroffenen, z.B. im Falle von besonders sensiblen Daten oder eine großen Menge an betroffenen Daten, desto mehr muss das Unternehmen auch unternehmen, um die Datenpanne zu beheben bzw. das Risiko bestmöglich einzugrenzen.

Entscheidung über die Meldung der Datenpanne

Zur Klärung der Frage, wann die Datenpanne bei der Aufsichtsbehörde als auch bei dem Betroffenen selbst gemeldet werden muss, wird Art. 33 DS-GVO angesetzt. Die Meldepflichten wurden durch die DS-GVO erheblich verschärft. Es ist zu differenzieren zwischen der erforderlichen Meldung an die Aufsichtsbehörde nach Art. 33 DS-GVO und der Meldung an den Betroffenen nach Art. 34 DS-GVO.

Art. 33 DS-GVO

Es muss gem. Art. 33 Abs. 1 DS-GVO jede Verletzung des Schutzes personenbezogener Daten unverzüglich der zuständigen Aufsichtsbehörde gemeldet werden. Unverzüglich bedeutet in diesem Zusammenhang binnen 72 Stunden, nachdem dem Verantwortlichen die Verletzung bekannt geworden ist. Dem Auftragsverarbeiter obliegt hingegen keine Meldepflicht gegenüber der Aufsichtsbehörde. Er ist nach Art. 33 Abs. 2 DS-GVO nur dann zu einer unverzüglichen Meldung an den Verantwortlichen verpflichtet, wenn ihm eine Verletzung des Schutzes personenbezogener Daten bekannt wird. Eine Ausnahme von der Meldepflicht an die Aufsichtsbehörde besteht nur dann, wenn die Verletzung des Schutzes personenbezogener Daten voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten von natürlichen Personen führt. Hier ist entsprechend ebenfalls wieder die bereits durchgeführte Risikoanalyse maßgeblich. Zu beachten ist hierbei aber das Regel-Ausnahme-Verhältnis der gesetzlichen Regelung, so dass ein strenger Maßstab für das Absehen einer Meldung angelegt werden muss.

Art. 34 DS-GVO

Nach Art. 34 Abs. 1 DS-GVO obliegt dem Unternehmen zusätzlich eine unverzügliche Informationspflicht an die betroffene Person, wenn die Datenpanne mit einem „hohen Risiko“ für die persönlichen Rechte und Freiheiten der Person verbunden ist . Die Beurteilung, ob tatsächlich ein Risiko vorliegt, ist anhand des Risikokatalogs in Erwägungsgrund 75 der DS-GVO vorzunehmen. Die DS-GVO definiert nicht wann ein „hohes Risiko“ vorliegt. Ein solches ist aber dann anzunehmen, wenn mit hoher Wahrscheinlichkeit ein Schaden für die Rechte und Freiheiten der natürlichen Person droht.

Eine Informationspflicht an die betroffene Person ist nach Art. 34 DS-GVO jedoch dann entbehrlich, wenn die dort genannten Bedingungen erfüllt sind. Hat der Verantwortliche nach Art. 34 Abs. 1 DS-GVO geeignete technische und organisatorische Sicherheitsvorkehrungen getroffen und diese auch auf die von der Verletzung betroffenen Daten angewandt, (Beispiel: hinreichende Verschlüsselung) so ist eine Benachrichtigung der betroffenen Person nicht erforderlich.

Der Unterschied zwischen Art. 33 und Art. 34 DS-GVO besteht also eindeutig in dem Grad des Risikos, der zu einer Informationspflicht führt.

Die Meldung muss dabei die in Art. 33 Abs. 3 DS-GVO genannten Informationen enthalten. Hierzu zählen unter anderem die Beschreibung der Art der Verletzung des Schutzes personenbezogener Daten, als auch die Beschreibung der wahrscheinlichen Folgen der Verletzung des Schutzes personenbezogener Daten.

Dokumentation von Datenpannen

Unter DS-GVO müssen gem. Art. 33 Abs. 5 DS-GVO alle Datenpannen dokumentiert werden. Abschließend ist festzuhalten, dass mit der DS-GVO eine Meldung an die Aufsichtsbehörde viel häufiger erfolgen muss als bisher. Um einen Verstoß gegen die DS-GVO zu vermeiden ist es für Unternehmen unabdingbar ihre Mitarbeiter rechtzeitig zu informieren und gleichzeitig Meldeprozesse einzuführen, die zum schnellen Erkennen einer Datenpanne beitragen. Dies ist insbesondere vor dem Hintergrund ratsam, dass ein Verstoß gegen Art. 33 DS-GVO nach Art. 83 Abs. 4a DS-GVO mit einem Bußgeld von bis zu 10.000.000 € oder 2 % des weltweit erzielten Jahresumsatzes des vorangegangen Geschäftsjahres bedroht. Es kommt dabei darauf an, welche Zahl höher ist.

NOCH FRAGEN?

Wir freuen uns auf Ihre Anfrage zu diesem und weiteren Themen!

KONTAKT AUFNEHMEN

Urheberrechtlicher Schutz von Software im Arbeitsverhältnis

In unserem Bericht differenzieren wir zwischen den Urheberrechten von Arbeitnehmern und freien Mitarbeitern.

Urheberrechtlicher Schutz von Software im Arbeitsverhältnis

Einführung

Das Ausscheiden eines Arbeitnehmers im Bereich der Softwareentwicklung wirft naturgemäß die Frage auf, welche Rechte dem Arbeitnehmer an den von ihm erstellten Anwendungen zustehen, als auch wie der Arbeitgeber diese Software verwenden darf. Maßstab in Bezug auf urheberrechtlichen Schutz von Software sind die allgemeinen Regelungen. Die Urheberpersönlichkeitsrechte ergeben sich aus den §§ 12 ff. UrhG und die Verwertungsrechte aus den §§ 15 ff. UrhG. Diese werden durch die §§ 69a-g UrhG für Computerprogramme ergänzt.

Deren Anwendungsbereich ist jedoch nur eröffnet, wenn es sich bei dem Computerprogramm um ein urheberrechtlich geschütztes Werk handelt. Computerprogramme i.S.d. § 69a UrhG sind das in jeder Form, Sprache und Notation oder in jedem Code gewählte Ausdrucksmittel für eine Folge von Befehlen, die dazu dient, einem Computer zur Ausführung einer bestimmten Aufgabe oder Funktion zu veranlassen. Dazu ist eine Komponente in Form einer eigenen geistigen Schöpfung gem. § 69a Abs. 3 S. 1 UrhG erforderlich. Diese richtet sich nach den Grundsätzen der sog. „Kleinen Münze“. Damit sind Werke gemeint, die gerade eben das Minimum der Voraussetzungen eines urheberrechtlichen Werkes erfüllen. Dazu zählen auch Entwürfe und vorherige Programmversionen. Entscheidender Moment für das Greifen des Urheberrechtschutzes ist der Zeitpunkt der Entstehung.

Webseiten stellen nach überwiegender Auffassung keine Computerprogramme i.S.d. § 69a UrhG dar, können jedoch urheberrechtlichen Schutz gem. § 2 Abs. 1 Nr. 1 UrhG genießen. Ebenso wenig fallen Ideen, Grundsätze und Erkenntnisse der Allgemeinheit nicht unter den Schutzbereich des § 69a Abs. 2 UrhG, da diese nicht monopolisiert werden sollen.

Da die §§ 69ff. UrhG keine eigene Definition des Begriffs des Arbeitnehmers beinhalten, wird auf die Grundsätze des Arbeitsrechts, insbesondere des § 611a BGB zurückgegriffen. Von § 69b UrhG werden auch Scheinselbstständige i.S.d. § 7 SGB IV und Leiharbeitnehmer erfasst.

Urheberrechte von Arbeitnehmern

Grundsätzlich gilt auch bei Computerprogrammen das Schöpferprinzip gem. § 7 UrhG, wonach vermutet wird, dass der Arbeitnehmer der Schöpfer des Werkes ist. Die Vermutung gilt, solange nicht das Gegenteil bewiesen wird gem. § 292 ZPO. Das Schöpferprinzip wird jedoch im Rahmen eines Arbeitsverhältnisses durch § 69b UrhG eingeschränkt. Dieser ist lex specialis zu § 43 UrhG. Dabei gehen nach herrschender Ansicht die Nutzungsrechte am Computerprogramm im Wege einer gesetzlichen ausschließlichen Lizenz auf den Arbeitgeber über. Der Arbeitgeber ist somit der Rechtsinhaber.

Die wachsende Komplexität von Computerprogrammen hat zur Folge, dass Programme zunehmend im Team erstellt werden. Diese Miturheberschaft regelt § 8 UrhG. Eine solche liegt vor, wenn mehrere ein Werk gemeinsam schaffen, ohne dass sich ihre Anteile gesondert verwerten lassen.

Die Miturheber bilden gem. § 8 Abs. 2 S. 1 UrhG eine Gesamthandsgemeinschaft. Dabei ist erforderlich, dass jeder Beteiligte einen schöpferischen Beitrag leisten muss, der in das gemeinsame Werk einfließt. Ebenso berechtigt § 8 Abs. 2 S. 3 UrhG jeden Mitarbeiter dazu Ansprüche aus Urheberrechtsverletzungen geltend zu machen, dabei kann er allerdings nur Leistung an alle Miturheber verlangen.

Wenn die Anteile jedoch gemeinsam gem. § 9 UrhG verbunden werden, liegt keine Miturheberschaft vor, sondern zwischen den einzelnen Entwicklern wird eine BGB-Gesellschaft gem. §§ 705 ff. BGB begründet. Die Entwickler können ihre Rechte dann grundsätzlich nur gemeinschaftlich nach §§ 709, 714 BGB und nicht nach § 8 Abs. 2 S.3 UrhG verfolgen. Der BGH gewährt aber dem Urheber einer BGB-Gesellschaft auch das Recht alleine gegen Rechtsverletzungen vorzugehen.

Der Arbeitgeber erwirbt bei Vorliegen der Voraussetzungen des § 69b UrhG ein ausschließliches Recht zur Ausübung aller vermögensrechtlichen und nutzungsrechtlichen Befugnisse. Diese Rechte wirken auch nach Beendigung des Arbeitsverhältnisses fort. Nicht erfasst sind die Urheberpersön-lichkeitsrechte, was sich aus § 69b UrhG ergibt, der ausdrücklich von vermögensrechtlichen Befugnissen spricht. Damit § 69b UrhG Anwendung findet, muss das Computerprogramm in Wahrnehmung der Aufgaben oder nach den Anweisungen des Arbeitgebers erschaffen worden sein. Dies ist nicht der Fall, wenn sich der Arbeitnehmer ausschließlich der Arbeitsmittel und des Knowhows des Betriebs bedient, jedoch kann den Arbeitnehmer dann eine Pflicht zur Andienung treffen.

Auch an unfertigen Programmen stehen dem Arbeitgeber die Rechte daran zu, wenn der Arbeitnehmer die Arbeitsstelle verlässt. Daran ändert auch eine spätere Fertigstellung bei einem anderen Arbeitgeber nichts. Der Anspruch auf Programmteile des Arbeitgebers beschränkt sich nur auf die jeweils während der Beschäftigungszeit des Arbeitnehmers erstellten Teile.

Die Nutzungs- und Vermögensrechte des Arbeitgebers werden in der Regel vertraglich als Betriebs- und Geschäftsgeheimnis gem. § 17 UWG geregelt. Diese Regelungen finden jedoch ihre Grenze im Wettbewerbsverbot. Bei hoher Spezialisierung des Arbeitnehmers kann man ihn jedoch schwer an einer Verwertung hindern.

Urheberrechte von freien Mitarbeitern

Von der Regelung des § 69b UrhG nicht erfasst sind freie Mitarbeiter. Jedoch ist davon auszugehen, dass nach der Zweckübertragungslehre des § 31 Abs. 5 UrhG der Programmierer Rechte nur in dem Umfang überträgt, als es für die Erreichung des Vertragszwecks erforderlich ist. Die Auslegung eines Vertrags erfolgt nach den Grundsätzen der §§ 133, 157 BGB.

Dabei ist zu differenzieren, ob der freie Mitarbeiter die Software für die Nutzung innerhalb des Unternehmens des Arbeitgebers erstellt oder der Arbeitgeber die Software weiterverarbeiten und vertreiben will. Im Falle einer Weiterverbreitung sind im Zweifel die Verwertungsrechte miteingeräumt. Pflegt der Arbeitgeber die Software selbst weiter, ist der freie Mitarbeiter auch zur Herausgabe des Quellcodes verpflichtet. Mangels genauer gesetzlicher Regelung wird gem. § 31 Abs. 5 UrhG angenommen, dass im Zweifel die entsprechenden Rechte soweit als möglich beim Urheber verbleiben.

NOCH FRAGEN?

Wir freuen uns auf Ihre Anfrage zu diesem und weiteren Themen!

KONTAKT AUFNEHMEN